elaborado por: aneimo y aedemo · 2020-01-04 · “investigación de mercado”) se desarrolla...

Elaborado por: Aneimo y Aedemo

Pág. 2 de 59 Código de Conducta

ÍNDICE

Pulse aquí para ir

Introducción

TÍTULO I DEFINICIONES

Artículo 1. Definiciones

TÍTULO II ÁMBITO DE APLICACIÓN Y EFICACIA

Artículo 2. Ámbito de aplicación

Artículo 3. Elaboración y aprobación

Artículo 4. Reglas de modificación

Artículo 5. Eficacia y adhesión a este Código de Conducta

Artículo 6. Comité de Supervisión y Seguimiento

Artículo 7. Régimen sancionador

Artículo 8. Procedimiento de reclamaciones

Artículo 9. Publicidad y acciones formativas

TÍTULO III PROCESOS DE INVESTIGACIÓN

Artículo 10. Principios generales

Artículo 11. Obtención de los datos de carácter personal

Artículo 12. Información para el entrevistado

Artículo 13. Destino de los datos de carácter personal

Artículo 14. Protección de menores

Artículo 15. Transferencias internacionales de datos

Artículo 16. Uso de cookies y dispositivos similares

Artículo 17. Llamadas telefónicas aleatorias

TÍTULO IV MEDIDAS DE SEGURIDAD

Artículo 18. Seguridad y protección de datos

TÍTULO V ENCARGADO DE TRATAMIENTO

Artículo 19. Encargado de tratamiento

TÍTULO VI DELEGADO DE PROTECCIÓN DE DATOS

Artículo 20. Delegado de protección de datos

Artículo 21. Funciones del delegado de protección de datos

TÍTULO VII EJERCICIO DE DERECHOS

Artículo 22. Ejercicio de derechos

ANEXOS


INTRODUCCIÓN

La actividad de investigación de mercado, social, de la opinión y del análisis de datos (en adelante “investigación de mercado”) se desarrolla empleando diversas técnicas y metodologías. En algunos casos, estas técnicas y metodologías no requieren de la participación activa de entrevistados (por ejemplo: investigación por observación, conteos, investigación de gabinete -o “desk research”-, etc.) por lo que normalmente no implican el tratamiento de datos personales. Sin embargo, la mayoría de las técnicas y metodologías requieren obtener información de los entrevistados, que en ocasiones puede implicar la obtención de datos personales. Para que esta participación de los entrevistados sea adecuada y eficaz, es imprescindible en todos los casos asegurar que se cuenta con su confianza. Uno de los objetivos de este Código de Conducta es identificar mecanismos para asegurar dicha confianza. Es necesario establecer una distinción clara entre investigación de mercado y actividades comerciales tales como la publicidad, la promoción de ventas, el marketing directo y la venta directa. El motivo de esta distinción reside en que los investigadores no están interesados en la identidad personal de los entrevistados en sí misma ya que, salvo autorización, no suministran datos identificativos a los clientes que encargan la investigación. Los entrevistados son seleccionados como representantes de un grupo sociodemográfico y sus respuestas se utilizan en tablas estadísticas para dar una idea general de las opiniones o actitudes de dicho grupo. Así, los datos identificativos de los entrevistados se tratan con la finalidad de contactarles (e invitarles a participar) o para corroborar que la investigación se ha realizado correctamente (por motivos de control de calidad). Cuando la recogida de datos pretende proporcionar al cliente datos identificativos con fines comerciales, no se debe presentar a los entrevistados como una investigación de mercado y debe cumplir con el marco legal establecido para actividades comerciales tales como el marketing directo. El Código Internacional CCI/ESOMAR para la práctica de la Investigación de Mercados, Opinión y Social y del Análisis de Datos destaca la importancia de que las personas puedan controlar el uso que se hace de sus datos y con qué propósito, y la necesidad de establecer pautas éticas y profesionales sobre cómo manejar esos datos de forma responsable para mantener la confianza del público en la investigación y seguir demostrando un compromiso con la responsabilidad ética, profesional y social que implica el uso de datos personales del público. El Código Internacional CCI/ESOMAR establece tres principios fundamentales que suponen la interpretación de base para la aplicación de los artículos que componen dicho Código: 1. Cuando se recogen datos personales de los titulares de los datos con propósitos de

investigación, los investigadores deben ser transparentes en relación a la información que se proponen recoger, el propósito de su recogida, a quién se comunicarán y de qué manera.

2. Los investigadores deben asegurarse de que los datos personales utilizados en una

investigación están debidamente protegidos frente a accesos no autorizados y no serán revelados sin el consentimiento del titular del dato.

3. Los investigadores observarán una conducta ética y no harán nada que pudiera dañar a un

titular de los datos o perjudicar la reputación de la investigación de mercados, social y de la opinión.


El Código Internacional CCI/ESOMAR en su artículo 6 aclara las únicas circunstancias aceptables en las que los datos que identifican a un entrevistado pueden ser transmitidos al cliente de la investigación: (b) Los investigadores no deben comunicar a un cliente los datos personales del titular de los datos a no ser que éste haya dado su consentimiento a dicha comunicación y esté de acuerdo con el uso específico para el que serán empleados. Por tanto, la organización de investigación debe obtener el consentimiento del entrevistado de diversas formas, siempre que mantenga un registro de dicho consentimiento (por ejemplo, mediante la respuesta afirmativa a una pregunta explícita sobre dicho consentimiento). Además, se debe proporcionar a los entrevistados una información clara y veraz. Así su artículo 4(a) iii exige que no se confunda a los entrevistados en manera alguna cuando se busque su cooperación en un proceso de investigación: Los investigadores deben asegurarse de que la participación es voluntaria y se basa en información adecuada y no engañosa relativa al propósito y naturaleza de la investigación. El Código Internacional CCI/ESOMAR requiere que las organizaciones de investigación sean transparentes en su trato con los entrevistados y que no presenten como investigación de mercado ninguna actividad que esté fuera de la definición de investigación de mercado. No deben presentarse como investigación de mercado las siguientes actividades: • Las consultas que tienen como finalidad la obtención de información personal identificativa

sobre particulares, ya sea con propósitos legales, políticos, privados, de supervisión (por ejemplo, en el desempeño de un trabajo) u otros fines;

• La adquisición de datos para la calificación crediticia del entrevistado, la comunicación individualizada (personalizada), el cobro de deudas o la solicitud de fondos al entrevistado;

• La elaboración, actualización o mejora de las listas, registros o bases de datos para fines que no sean de investigación (por ejemplo, el marketing directo);

• Actividades en las que se utilicen los datos de identificación obtenidos con fines distintos de la investigación de mercado, por ejemplo, para una campaña publicitaria, contactos comerciales o promocionales con los entrevistados, planes de incentivos para empleados o evaluación del desempeño laboral;

• Las actividades que tienen un propósito mixto (por ejemplo, combinar la investigación de mercado con actividades promocionales de seguimiento a los entrevistados, etc.);

• Espionaje industrial, comercial o de cualquier otro tipo. En algunos casos de investigación sobre satisfacción de los consumidores, el cliente requiere que se le transmitan datos de identificación de los entrevistados. Los siguientes tipos de investigación de satisfacción del consumidor no deberían presentarse como investigación de mercado: • Proceso en el que el cliente solicite que el investigador le envíe ejemplos de casos a los que el

cliente desearía hacer un seguimiento; estos se agrupan bajo el epígrafe de marketing “relacional” (o “directo”) ya que pueden formar parte de un servicio general al consumidor y servirían para otro propósito distinto del de la investigación de mercado.

• Casos en los que al usar una lista de contactos facilitada por quien encargó la investigación se obtenga nueva información personal como, por ejemplo, la nueva dirección de una persona; en estos casos es probable que se trate de una forma de enriquecimiento de la base de datos con fines de marketing.

• Cualquier proyecto que combine la recolección de datos personales para investigación de mercado con el marketing directo (por ejemplo, actividades promocionales de seguimiento con esas personas, etc.).


En la “Asociación Nacional de Empresas de Investigación de Mercado y de la Opinión” (Aneimo) y en la “Asociación Española de Estudios de Mercado, Marketing y Opinión” (AEDEMO) creemos firmemente en que la investigación de calidad repercute de forma directa en la generación de resultados positivos sobre el negocio de los clientes. La “Asociación Nacional de Empresas de Investigación de Mercado y de la Opinión” Aneimo, es una asociación privada sin ánimo de lucro, que aglutina a las empresas líderes del sector, representándolas en los diferentes ámbitos sociales y profesionales, promoviendo su desarrollo y asegurando que sus trabajos se realizan con altos estándares de calidad y siguiendo los códigos de ética profesional. Con dicha finalidad fue fundada en 1978 y está inscrita en el Registro de Asociaciones Profesionales del Ministerio de Trabajo y Seguridad Social con el número 1.663. Más información en www.aneimo.com. Aneimo es además miembro de AENOR y ostenta la Presidencia y la Secretaría del Comité Técnico de Normalización 161 Investigación de Mercado y Estudios de Opinión, representando a España en el comité internacional ISO/TC 225 Investigación de mercados, social y de la opinión que ha elaborado las normas UNE-ISO 20252 e ISO 26362. ANEIMO es miembro de EFAMRO (European Federation of Associations of Market Research Organisations, www.efamro.com) y subscribe los Códigos Éticos de ESOMAR (The World Association for Market, Social and Opinion Researchers, www.esomar.org). Los principales objetivos de Aneimo son: • Representar y promover los intereses de las empresas de Estudios de Mercado y Opinión ante

las diferentes instituciones y asociaciones tanto a nivel nacional como internacional. • Promover la colaboración entre empresas del sector y otros sectores profesionales afines

preservando siempre la libre competencia. • Establecer foros de diálogo entre las empresas del sector y sus clientes para la mejora

continua de los servicios ofrecidos. • Promover y velar por el cumplimiento de sistemas de calidad y códigos de ética profesional que

beneficien la imagen de la profesión y creen valor para el negocio de los clientes. En estrecha colaboración, AEDEMO es la Asociación Española de Estudios de Mercado, Marketing y Opinión, que agrupa a los y las Profesionales cuya actividad se desarrolla en estas áreas. Cerca de 1000 profesionales forman parte de la Asociación. El objetivo fundamental de AEDEMO es potenciar el crecimiento del sector, promoviendo la difusión y control de las técnicas empleadas en la Investigación, impulsando el conocimiento y activando los puntos de encuentro entre los y las profesionales. Más información en www.aedemo.es. Atendiendo a sus fines, Aneimo y Aedemo han considerado necesario configurar garantías adicionales a las establecidas por la normativa de protección de datos, de cara al cliente y al público en general, concediéndole una mayor fiabilidad en el trato que mantiene con el sector, en lo que al tratamiento de sus datos personales le concierne. Además de esta legislación, los socios han aceptado el Código Internacional CCI/ESOMAR comprometiéndose a cumplir otra legislación como la vinculada a sectores de áreas sensibles (tabaco, farmacia, etc.) en los que pueden ubicarse las investigaciones que realicen. La normativa vigente sobre protección de datos personales tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar. El 14 de enero de 2000 entró en vigor la Ley 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD) y el 19 de abril de 2008 el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RLOPD). El 25 de mayo de 2016 entró en


vigor el Reglamento General de Protección de Datos (RGPD - Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos), que sustituye a la Ley 15/1999 y al RD 1720/2007 y que será de aplicación a partir del 25 de mayo de 2018. La información sobre la naturaleza de los tratamientos efectuados, la necesidad del consentimiento para tratarlos con cualquier finalidad, el uso o cesión de los datos, los encargados del tratamiento y, en general, el poder de disposición de cada persona sobre su propia información, suministrada o no en el marco de una relación jurídica o contractual, debe quedar garantizada. En este contexto, Aneimo y Aedemo conocedoras de la problemática que en cuanto al tratamiento de datos de carácter personal presenta el sector de la investigación de mercado, consideran imprescindible el establecimiento de un marco que recoja un conjunto de normas de autorregulación que garantice que el sector cumple con las previsiones que la legislación vigente establece, lo que debe traducirse en un beneficio de imagen y gestión hacia el cliente y al público en general. Aneimo y Aedemo han considerado como figura más adecuada la contemplada por la Sección 5 del Capítulo IV del RGPD, elaborando así este Código de Conducta. El objeto es proporcionar a los asociados de Aneimo y Aedemo, y en general a las empresas que prestan servicios de investigación de mercado un marco a través del cual establecer estándares sobre aquellas actuaciones que comporten un tratamiento de datos de carácter personal, y de conseguir, asimismo, un compromiso de las mismas hacia la privacidad de los datos y el cumplimiento del RGPD. Los objetivos esenciales del presente Código de Conducta son: a) Facilitar que cualquier entrevistado pueda conocer sus derechos de acuerdo con la legislación

aplicable a la protección de datos de carácter personal y los medios que nuestro sector pone a su alcance para ejercitarlos.

b) Solventar las dudas que puedan surgir en la aplicación de la normativa sobre protección de datos de carácter personal, contemplando los supuestos concretos que se encuentran en su funcionamiento diario.

c) Apoyar a las organizaciones que operan en el sector en la implantación de las medidas necesarias para cumplir con las normas aplicables.

d) Conferir fiabilidad y garantías a los estándares prácticos y operacionales utilizados por las organizaciones del sector de la investigación en relación con el tratamiento de los datos personales, en cumplimiento de la legislación.

e) Conseguir un beneficio de imagen pública del sector y demostrar su compromiso con los valores sociales y estricto cumplimiento de la legalidad, asegurando la confianza tanto de los entrevistados como de los clientes de la investigación o de cualquier parte interesada.


TÍTULO I DEFINICIONES

Artículo 1. Definiciones A los efectos del presente Código de Conducta, debe entenderse por: Nota: definiciones basadas en RGPD, UNE-ISO 20252 y Código Internacional CCI/ESOMAR. Afectado por el tratamiento Cualquier persona física titular de los datos que sean objeto del tratamiento. En este Código de Conducta se entenderá que el colectivo de afectados incluye los entrevistados o personas a las que se les invita a participar en un proceso de investigación de mercado. Cancelación Procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelación implicará el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido ese plazo deberá procederse a la supresión delos datos. Cesión o comunicación de datos Toda revelación de datos de carácter personal, ya sean individuales, parciales o un fichero completo) realizada a una persona distinta del responsable del fichero o tratamiento. Cliente Organización que solicita o contrata una actividad de investigación de mercado. Consentimiento Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el afectado por el tratamiento mayor de 14 años consienta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. Cuestionario PAPI, CATI, CAPI, CASI, CAWI PAPI (paper assisted personal interview): entrevista realizada en persona al entrevistado por un entrevistador y registrada en soporte papel. CATI (computer assisted personal interview): entrevista realizada por teléfono al entrevistado por un entrevistador y registrada en soporte electrónico. CAPI (computer assisted personal interview): entrevista realizada en persona al entrevistado por un entrevistador y registrada en soporte electrónico. CASI (computer assisted self-interview): entrevista auto-administrada por el propio entrevistado (no por un entrevistador) y registrada en soporte electrónico. CAWI (computer assisted web interview): entrevista auto-administrada por el propio entrevistado y registrada en una página web o aplicación móvil. Dato disociado Aquél que no permite la identificación de un afectado. Datos de carácter personal Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables. Se considerarán datos personales, entre otros, la dirección personal de correo electrónico y el número de teléfono, siempre que permitan identificar a su titular. Se considerará persona física identificable toda persona cuya


identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados. Encargado del tratamiento La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. Entrevistado o participante Cualquier persona de la que la organización adherida obtiene información para fines de una actividad de investigación de mercado. Por tanto, bajo este término se incluyen no solo quien es entrevistado sino también todo panelista, participante o sujeto observado, con el elemento común de ser el titular de los datos, el individuo cuyos datos personales son utilizados en una investigación. Entrevista en profundidad Entrevista no estructurada que se lleva a cabo para comprender motivaciones subyacentes, creencias, actitudes y sentimientos sobre un tema en particular. Fichero Todo conjunto estructurado de datos de carácter personal, que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. Fichero no automatizado Fichero organizado de forma no automatizada y estructurado conforme a criterios específicos relativos a personas físicas, que permitan acceder sin esfuerzos desproporcionados a sus datos personales, ya sea aquél centralizado, descentralizado o repartido de forma funcional o geográfica. Incentivo Obsequio, pago u otras retribuciones ofrecidas a potenciales entrevistados para incrementar la tasa de cooperación. Investigación ad hoc Investigación específicamente diseñada para tratar un objetivo o tema particular, así como cuando se realiza para un cliente en exclusiva. Investigación cualitativa Análisis de motivaciones, patrones de pensamiento, opinión, actitud, valoración o comportamiento por medio de técnicas de investigación tales como reuniones de grupo, entrevistas en profundidad y observación etnográfica cualitativa. Investigación cuantitativa Representación numérica de observaciones con propósito de describir y explicar los fenómenos que reflejan dichas observaciones. Investigación de gabinete (“desk research”) Investigación mediante la cual se recopila información sobre un determinado tema de distintas fuentes de forma ordenada. Estas fuentes pueden ser publicaciones o documentos ya existentes, por ejemplo, en internet.


Investigación de mercado Incluye todo tipo de investigación de mercados, social, de la opinión y el análisis de datos. Se define como la recopilación e interpretación sistemática de información sobre personas u organizaciones. Utiliza métodos estadísticos y analíticos y técnicas de las ciencias sociales aplicadas, conductuales y de tratamiento de datos para obtener percepciones o aportar elementos de apoyo a la toma de decisiones por parte de los proveedores de bienes y servicios, organismos gubernamentales, organizaciones sin ánimo de lucro y el público en general. Investigador Cualquier persona u organización que lleva a cabo actividades de investigación de mercado o actúa como consultor en el mismo, incluyendo aquellas personas que trabajan en la organización del cliente. En este Código el investigador será referenciado como “organización adherida”. Medios electrónicos de comunicación a distancia Todos aquéllos que permitan la prestación de servicios de la sociedad de la información. Menor Toda persona física que no haya alcanzado la mayoría de edad legal para emitir su consentimiento. A los efectos de las normas de protección de datos en el marco de este Código de Conducta, se entenderá por menor a la persona física de menos de 14 años. Mystery shopping (pseudocompra, compra simulada) Investigación en la que las personas que la realizan asumen el papel de clientes/usuarios para evaluar el desempeño de un producto, negocio o servicio. Observación etnográfica Método de investigación cualitativa en el cual el investigador observa o interactúa con los sujetos de la investigación en su entorno natural según llevan a cabo sus actividades normales. Panel (de entrevistados) Grupo de entrevistados seleccionados para una investigación que han aceptado proporcionar información en intervalos especificados durante un período de tiempo prolongado. Persona vulnerable Personas de quienes se pueda suponer una limitación en su capacidad de tomar decisiones voluntarias e informadas, incluyendo a aquéllas con dificultades cognitivas o incapacidades de comunicación. Esta definición en ningún caso se corresponde con la de personas sobre las que se haya declarado legalmente una incapacitación. (Código Internacional CCI/ESOMAR) Procedimiento de disociación (obtención de datos disociados) Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a una persona identificada o identificable. Disociar es el proceso por el cual se elimina información de un conjunto de datos para proteger la privacidad de los individuos descritos por estos datos. El objetivo de la disociación es hacer posible la distribución o publicación de datos preservando el anonimato de los individuos de quienes se han obtenido los datos. La disociación debe distinguirse de la seudonimización, ya que esta última implica un tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado individual sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable. Es decir, mientras que en un procedimiento de disociación los datos no pueden atribuirse a una persona identificada o identificable de forma absoluta; en un proceso de seudonimización es posible atribuir los datos a


una persona utilizando información adicional. A diferencia de los datos disociados, los datos seudonimizados pueden identificar a una persona al utilizar la información adicional. Se incluye algunas orientaciones sobre estos procesos: Más información Orientaciones y garantías en los procedimientos de anonimización de datos personales (http://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/Guias/2016/Orientaciones_y_garantias_Anonimizacion.pdf), Publicidad (engloba la promoción de ventas, el marketing directo y la venta directa) Toda forma de comunicación realizada por una persona física o jurídica, pública o privada, en el ejercicio de una actividad comercial, artesanal o profesional, con el fin de promover de forma directa o indirecta la contratación de bienes, servicios, derechos y obligaciones o con el fin de promover determinadas actitudes o comportamientos. Recogida de datos por observación; investigación por observación Recogida de datos mediante la observación de comportamientos, hábitos, actividades, relaciones, opiniones expresadas, desempeños individuales o grupales, acontecimientos, incluyendo el uso de técnicas pasivas, sin formulación de preguntas directas a un entrevistado. Recogida pasiva de datos Método de recogida de datos o información que no emplea el método tradicional de preguntas, normalmente realizado mediante observación, medición o grabación de los comportamientos o acciones de un individuo. Responsable del tratamiento La persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento. Reunión de grupo; grupo de discusión Discusión abierta con un número reducido de participantes seleccionados dirigida por un moderador. NOTA Una reunión de grupo puede ser realizado cara a cara, por teléfono, online o por una combinación

de estos sistemas. Las reuniones de grupo online pueden ser sincrónicas o en tiempo real (por ejemplo, sesiones de chat), o asincrónicas durante un periodo de tiempo prolongado (por ejemplo, tablones de mensajes/boletines/muros).

Soporte Objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos. Tercero La persona física o jurídica, pública o privada u órgano administrativo distinta del cliente, del responsable del fichero, del encargado del tratamiento y de las personas autorizadas para tratar los datos bajo la autoridad directa del responsable o del encargado del tratamiento. Transferencia internacional de datos Tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo o de la Unión Europea, bien constituya una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero establecido en territorio español. Tratamiento de Datos Conjunto de operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, registro, organización, estructuración, conservación, adaptación o modificación,


extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción. Validación o comprobación Actividad de control de calidad realizada en cualquier fase de un proceso de investigación. Video-streaming Retransmisión de video por internet.


TÍTULO II ÁMBITO DE APLICACIÓN Y EFICACIA

Artículo 2. Ámbito de aplicación 2.1 Alcance El presente Código de Conducta se aplicará a los tratamientos efectuados por las organizaciones adheridas para la prestación de sus servicios de investigación de mercado y, en concreto, a los siguientes tratamientos y datos de carácter personal: a) Tratamientos de datos personales (realizados como responsable o encargado) destinados a

captar entrevistados o participantes en un proceso de investigación, sea dicha participación de forma puntual o a lo largo del tiempo. Esta participación puede ser consciente o no (por ejemplo, en un estudio de tipo mystery shopping).

b) Tratamientos de datos personales (realizados como responsable o encargado) destinados a la entrega de incentivos por la participación en procesos de investigación.

c) Tratamientos de datos personales (realizados como encargado) de personas físicas suministrados por el cliente con objeto de una investigación de mercado.

2.2 Ámbito territorial El presente Código de Conducta será de aplicación a las organizaciones adheridas cuando el tratamiento de los datos personales se lleve a cabo en el contexto de las actividades de la organización adherida situada en territorio español, independientemente del lugar donde se traten los datos de carácter personal. 2.3 Normas aplicables

Reglamento General de Protección de Datos (en adelante RGPD), Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD)

Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante RLOPD)

Código Internacional CCI/ESOMAR para la práctica de la Investigación de Mercados, Opinión y Social y del Análisis de Datos, en su edición vigente en cada momento.

Artículo 3. Elaboración y aprobación Este Código de Conducta fue aprobado por:

Aedemo, en la reunión extraordinaria de la Junta Directiva de fecha 20 de junio de 2017; y

Aneimo, en la reunión ordinaria de la Junta Directiva de fecha 15 de junio de 2017. Se remarcó la necesidad de lograr unas reglas que consigan dar confianza al cliente y a los entrevistados en lo que afecta al tratamiento de su información personal, buscando unos estándares operacionales fácilmente identificables. Este Código de Conducta será presentado a los clientes y al público en general, una vez haya sido aprobado, registrado y publicado por la Agencia Española de Protección de Datos. Este


Código de Conducta prevé la creación de un Comité de Supervisión y Seguimiento que tendrá como función verificar el cumplimiento del mismo, así como comprobar la eficacia de su aplicación y supervisar, y en su caso asesorar, sobre los aspectos en los que se pudieran observar deficiencias. Artículo 4. Reglas de modificación Este Código de Conducta sólo podrá ser modificado previo acuerdo de las respectivas Juntas Directivas. Aprobada la modificación, la misma será remitida a la Agencia Española de Protección de Datos (AEPD) para su aprobación, registro y publicación por la Agencia Española de Protección de Datos. Se valorarán y considerarán las propuestas que cualquiera de las organizaciones adheridas comunique referidas al ámbito material de aplicación de este Código de Conducta y a su funcionamiento práctico y efectividad. Las propuestas de modificación o introducción de nuevas cuestiones en este Código de Conducta, realizadas por cualquiera de las organizaciones adheridas, serán valoradas en cuanto a su legalidad por el Comité que elevará sus conclusiones y, en su caso, informe sobre los términos de la propuesta planteada, a las Juntas Directivas de Aneimo y Aedemo. Artículo 5. Eficacia y adhesión a este Código de Conducta El presente Código de Conducta, o sus modificaciones o ampliaciones, entrará en vigor y será plenamente eficaz desde la fecha de su aprobación, registro y publicación por la Agencia Española de Protección de Datos. Este Código de Conducta será de aplicación a aquellas organizaciones (personas jurídicas) adheridas al mismo, que tengan como actividad la prestación de servicios de investigación de mercados en el ámbito del territorio español y cuenten con establecimiento permanente en dicho territorio. También puede adherirse a este Código de Conducta cualquier profesional que preste los servicios indicados, mediante declaración expresa de adhesión. Sin embargo, por claridad, en todas las referencias que se hagan en el texto se utilizará el término “organización”, entendiéndose que se refiere indistintamente a la empresa o profesional adherido. Es condición indispensable para obtener la calificación de “empresa adherida” a este Código de Conducta el haber comunicado por escrito, mediante solicitud a Aneimo o Aedemo, la declaración expresa de adhesión a este Código de Conducta y la aceptación de forma expresa, del cumplimiento de las obligaciones establecidas en el mismo (Ver modelo en Anexo 1). La solicitud de adhesión será remitida al Comité de Supervisión y Seguimiento del Código, que revisará y analizará el grado de cumplimiento del solicitante al mismo, en base a la documentación adicional que se requiera. El Comité de Supervisión y Seguimiento del Código dictará resolución expresa en el plazo máximo de un mes, desde la recepción de toda la documentación adicional que se requiera, aceptando o no la adhesión del solicitante a este Código de Conducta. La adhesión dará lugar a la publicación del nombre de la organización adherida en las páginas web de Aneimo y Aedemo actualizando el listado de organizaciones adheridas a este Código de Conducta. Las organizaciones adheridas a este Código de Conducta se obligarán al cumplimiento de sus términos, aplicando las reglas y procedimientos operacionales incluidos en el mismo, para lo cual


llevarán a cabo las actuaciones necesarias en el marco de la estructura jurídica y organizativa con la que cuenten en cada momento. Asimismo, toda organización adherida que realice un tratamiento de datos personales está obligada a mantener un registro de las actividades de tratamiento efectuadas (véase el Título IV de este Código de Conducta). Aneimo y Aedemo podrán proceder a la concesión a una organización de un sello de adhesión y cumplimiento de los términos de este Código de Conducta, que se adjunta como Anexo 2, que permita a la organización adherida mostrar su compromiso con la privacidad de los datos que trate. La concesión del sello se podrá condicionar a la realización de una auditoria, con las condiciones marcadas por Aneimo y Aedemo, sobre el cumplimiento de las normas de este Código de Conducta. La organización adherida tendrá el derecho, pero no la obligación, de utilizar el sello conforme a las normas establecidas en el Anexo 2 de este Código de Conducta. Cualquier organización adherida a este Código de Conducta deberá adoptar un compromiso formal de cumplir todos y cada uno de los términos del mismo y las obligaciones legales vigentes en cada momento. Como parte del procedimiento de adhesión a este Código de Conducta, la organización debe asegurar que todo su personal cuente con una formación adecuada sobre protección de datos y sobre este Código de Conducta. Artículo 6. Comité de Supervisión y Seguimiento Aneimo y Aedemo constituirán, previa aprobación por las respectivas Juntas Directivas, un Comité de Supervisión y Seguimiento de este Código de Conducta que estará integrado por expertos en la materia nombrados por las Juntas Directivas de Aneimo y Aedemo. El Comité de Supervisión y Seguimiento estará compuesto por entre 3 y 5 miembros, representando de forma paritaria a Aneimo y a Aedemo más una persona independiente de ambas asociaciones con objeto de garantizar su independencia e imparcialidad que será elegido por consenso de Aneimo y Aedemo. El Comité de Supervisión y Seguimiento se renovará con una periodicidad de cuatro años. El proceso de renovación se iniciará con dos meses de antelación a la fecha fin del periodo indicado, con el objetivo de que cada asociación presente las candidaturas de los miembros designados por éstas para representarles. Los integrantes elegirán a un Presidente del Comité de Supervisión y Seguimiento, que será sustituido a la finalización de cada periodo de cuatro años. Los miembros del Comité directivo podrán cesar voluntariamente en su cargo, en cuyo caso su puesto será ocupado de manera provisional por otro representante designado por su misma asociación, ejerciendo sus funciones durante el tiempo que le reste al Comité de Supervisión y Seguimiento para su próxima renovación. El Comité de Supervisión y Seguimiento se reunirá de forma ordinaria una vez al año o, en su caso, de forma extraordinaria a instancia de cualquiera de sus miembros o a iniciativa del propio Comité, en los casos en que se tenga conocimiento del incumplimiento de las medidas previstas en este Código de Conducta, o por cualquier otra cuestión relevante que afecte al cumplimiento del mismo. La convocatoria debe realizarse con una antelación mínima de diez días naturales a su celebración por el Presidente, constando lugar, fecha y hora de la reunión, así como el orden del


día, cabiendo la posibilidad de hacerla por medios electrónicos, siempre que se acredite el envío de la convocatoria en tiempo y forma. Todos los acuerdos del Comité de Supervisión y Seguimiento se adoptarán por mayoría simple de votos de los miembros asistentes. Cuando el Presidente o algún miembro tenga un conflicto de interés con el asunto a acordar, deberá abstenerse de dicha votación. Al Comité le corresponden las siguientes funciones:

Mantener accesible al público la información actualizada sobre las entidades promotoras, el contenido de este Código de Conducta, los procedimientos de adhesión y de garantía de su cumplimiento y la relación de adheridos, estando dicha información permanentemente accesible por medios electrónicos.

Favorecer la accesibilidad de todas las personas, con especial atención a las que tengan alguna discapacidad o de edad avanzada, a toda la información disponible sobre este Código de Conducta.

Colaborar con Aneimo y Aedemo en la difusión de este Código de Conducta y sus valores.

Gestionar el procedimiento de queja previsto en este Código de Conducta.

Aplicar el régimen sancionador previsto en este Código de Conducta.

Revisar el contenido de este Código de Conducta con una periodicidad anual, o cuando haya cambios legislativos o de otro tipo que lo justifiquen.

El Comité de Supervisión y Seguimiento podrá efectuar auditorías presenciales al azar a organizaciones adheridas y elaborará un informe de cada auditoría, con los resultados relativos a incumplimientos de este Código de Conducta y el plazo para su subsanación. Este informe podrá incluir recomendaciones sobre la forma más adecuada de cumplir con este Código de Conducta o con la legislación relevante a la protección de datos personales. Artículo 7. Régimen sancionador Las organizaciones adheridas a este Código de Conducta, estarán sujetas al presente régimen sancionador como consecuencia de las infracciones cometidas en relación a la protección de datos personales derivadas de las actividades de prestación de servicios de investigación de mercado. El análisis de las quejas, reclamaciones e infracciones detectadas en auditorías, o de otra forma, y la imposición o no de las consecuentes sanciones corresponde al Comité de Supervisión y Seguimiento de las conductas de las organizaciones adheridas, que pudieran ser constitutivas de infracción de la normativa en materia de protección de datos. El Comité de Supervisión y Seguimiento acordará la apertura de un procedimiento sancionador y su Presidente requerirá a la organización adherida afectada para que, en un plazo máximo de un mes a contar desde la recepción del requerimiento, explique o presente alegaciones por escrito en lo relativo a los hechos expuestos en el procedimiento sancionador. El Comité de Supervisión y Seguimiento estudiará lo indicado en las explicaciones o alegaciones de la organización adherida afectada y, en un plazo máximo de un mes responderá a la organización adherida informando de la aplicación del régimen sancionador, la infracción cometida y la sanción correspondiente, o del cierre del procedimiento sancionador. Las infracciones se calificarán como leves, graves o muy graves. Son infracciones leves: a) Carecer de medidas técnicas y organizativas para atender las solicitudes de ejercicio de

derechos (véase Título VII de este Código de Conducta) por las personas interesadas.


b) Proceder al tratamiento de datos personales sin cumplir alguno de los requisitos de información

a los interesados (véase Título III de este Código de Conducta). c) Cualquier infracción que no constituya infracción grave o muy grave. Son infracciones graves: a) Incumplir de forma puntual con las medidas de seguridad descritas en el Título IV de este

Código de Conducta. b) No atender la solicitud de ejercicio de derechos (véase Título VII de este Código de Conducta)

por una persona interesada. c) Proceder al tratamiento de datos personales sin recabar el consentimiento expreso, en los

casos en que este es exigible o constituya la base jurídica del tratamiento. d) Proceder al tratamiento de datos personales sin cumplir ninguno de los requisitos de

información a los interesados (véase Título III de este Código de Conducta). e) No permitir la auditoría presencial del Comité de Supervisión y Seguimiento. f) No responder en el plazo previsto a un requerimiento, explicando o presentando alegaciones

por escrito en relación a los hechos expuestos en una reclamación. g) La comisión de dos infracciones leves en el plazo de un año. h) No subsanar una infracción leve que haya sido objeto de sanción. Son infracciones muy graves: a) Ceder o comunicar los datos de carácter personal sin cumplir las medidas establecidas en este

Código de Conducta. b) No atender u obstaculizar de forma sistemática el ejercicio de derechos (véase Título VII de

este Código de Conducta) por una persona interesada. c) Incumplir de forma sistemática y continuada con las medidas de seguridad descritas en el

Título IV de este Código de Conducta. d) La comisión de dos infracciones graves en el plazo de un año. e) No subsanar una infracción grave que haya sido objeto de sanción. f) Ser sancionado por la AEPD. Las sanciones que pueden ser impuestas por el Comité de Supervisión y Seguimiento son: a) Sanción por infracción leve: Amonestación y requerimiento para subsanar los hechos o

circunstancias que originaron la sanción. b) Sanción por infracción grave: Amonestación y suspensión temporal de la adhesión a este

Código de Conducta hasta la subsanación de la infracción. c) Sanción por infracción muy grave: Amonestación y suspensión temporal o definitiva de la

adhesión a este Código de Conducta, en atención a la gravedad de la infracción. En la calificación de las infracciones y consecuentes sanciones, el Comité de Supervisión y Seguimiento atenderá a las circunstancias concurrentes incluyendo el número de afectados, los daños causados a los mismos, si se la ha requerido con anterioridad la subsanación de la irregularidad, y así podrá imponer una sanción superior o inferior en un grado a la que corresponde a la infracción cometida (es decir: leve en lugar de grave, o muy grave en lugar de grave). Artículo 8. Procedimiento de reclamaciones Todas las reclamaciones por la presunta infracción de las normas recogidas en el presente Código de Conducta serán presentadas ante el Comité de Supervisión y Seguimiento. Se establecerán los mecanismos que permitan su presentación online, así como la publicación de las resoluciones a través de una página web.


Se podrán plantear reclamaciones contra organizaciones adheridas a este Código de Conducta. El procedimiento para formular reclamaciones podrá ser utilizado por cualesquiera interesados que sean personas físicas con la condición de entrevistado, que hayan participado o se les haya invitado a participar en un proceso de investigación y que entiendan que se ha producido un incumplimiento o mala práctica en lo relativo a la protección de datos personales por parte de las organizaciones adheridas a este Código de Conducta. Los interesados podrán dirigir su queja al Comité de Supervisión y Seguimiento utilizando el formulario previsto en el Anexo 3. Para la admisión a trámite de las reclamaciones, será necesario que el reclamante presente un escrito que contenga sus datos de identificación y de contacto, el objeto y el contenido de la reclamación y toda la información de la que disponga sobre la organización adherida y sobre el proceso de investigación en el que ha participado o se le haya invitado a participar y en el que considere que se ha producido el incumplimiento o mala práctica. Nota: si la queja o reclamación incluye un ejercicio de los derechos descritos en el Título VII de este Código de Conducta, deberá aportarse el DNI o documento de identificación asimilable del reclamante y del representante legal, en su caso. El Presidente del Comité de Supervisión y Seguimiento requerirá a la organización adherida afectada para que, en un plazo máximo de un mes a contar desde la recepción del requerimiento, explique o presente alegaciones por escrito en relación a los hechos expuestos en la reclamación. El Comité de Supervisión y Seguimiento estudiará lo indicado en el citado informe y, en un plazo máximo de un mes, a contar desde la recepción del mismo, responderá a ambas partes. La respuesta del Comité de Supervisión y Seguimiento, además de informar al interesado de que puede presentar una reclamación ante la AEPD, deberá indicar si entiende que la actuación en relación a la reclamación realizada por la organización adherida no implica un incumplimiento de este Código de Conducta o, por el contrario, la resolución ofrecida o requerida a la organización adherida. En este último supuesto, el Comité de Supervisión y Seguimiento podrá aplicar el régimen sancionador conforme se establece en el artículo 7 de este Código de Conducta. Artículo 9. Publicidad y acciones formativas Aneimo y Aedemo desarrollarán una labor de difusión de este Código de Conducta a través de los medios de publicidad a su alcance. Aneimo y Aedemo mantendrán en todo momento una versión actualizada de este Código de Conducta en sus respectivas páginas web y un listado de las organizaciones adheridas al mismo. Asimismo, la AEPD publica una versión actualizada de este Código de Conducta en su página web www.agpd.es, en la cual cualquier ciudadano puede descargarse una copia gratuita. Aprovechando las reuniones con sus asociados o cualquier otro evento, Aneimo y Aedemo realizarán actividades de difusión de la legislación sobre protección de datos personales y en particular sobre las disposiciones de este Código de Conducta. En concreto:

Al menos anualmente, con ocasión de algún evento organizado por Aneimo o Aedemo.

Mediante la habilitación de un espacio en las respectivas páginas web de Aneimo y Aedemo con información sobre: o la legislación aplicable, o este Código de Conducta,


o resoluciones o sentencias relevantes para el sector o para la actividad de investigación de

mercado, o directrices, recomendaciones y buenas prácticas emitidas por el Comité Europeo de

Protección de Datos, la AEPD u otras autoridades de control que sean relevantes para el sector o la actividad de investigación de mercado,

o procedimientos sancionadores o de reclamaciones, sin identificar a las partes afectadas, o cualquier otro aspecto que pueda considerarse de interés para el sector o la actividad de

investigación de mercado. Las organizaciones adheridas a este Código de Conducta se comprometen a promover este sistema de autorregulación y a darlo a conocer y difundirlo tanto en los distintos sectores empresariales e institucionales con los que estén relacionados, como en la sociedad española en general. Las organizaciones adheridas deberán formar – y mantener formados, actualizando los contenidos impartidos- a los profesionales que trabajan en ellas en materia de protección de datos. A dichos profesionales les incumbe la obligación de participar activamente en la formación que les faciliten las organizaciones. Esta formación podrá incluir:

Aspectos fundamentales de la legislación de protección de datos personales.

Procesos de investigación necesarios para cumplir con la legislación de protección de datos personales: se hará especial referencia al contenido de este Código de Conducta.

Medidas de seguridad para asegurar el cumplimiento de la legislación.

Consecuencias del incumplimiento de la legislación o de este Código de Conducta.

Derechos de los entrevistados o participantes. Esta formación se podrá incorporar a los planes de formación que tenga establecida la organización adherida, y podrá realizarse de forma presencial, on-line o envío/publicación de comunicaciones internas. Es importante que en esta formación se incida en una cultura de respeto y sensibilización, especialmente en lo relativo a la información a los entrevistados, una corrección de actuaciones inadecuadas, el seguimiento de las incidencias de seguridad de la información, o el ejercicio de los derechos de los entrevistados.


TÍTULO III PROCESOS DE INVESTIGACIÓN

Artículo 10. Principios generales La organización adherida que realice las actividades objeto de este Código de Conducta deberá respetar la normativa vigente en materia de protección de datos personales. El tratamiento de los datos personales de los entrevistados deberá seguir los siguientes principios: Licitud, lealtad y transparencia: Los datos personales deben ser tratados de manera lícita, leal y transparente en relación con el entrevistado. La organización adherida debe exponer al entrevistado claramente la finalidad general de la investigación tan pronto como sea metodológicamente posible, proporcionándole una información adecuada y no engañosa relativa al propósito y naturaleza de la investigación. Además, la organización adherida debe informar a los entrevistados si hay alguna actividad que implique un re-contacto; por ejemplo, para posteriores fases de la investigación aun cuando el re-contacto únicamente se realice con fines de control de calidad (validación de la recogida de información o del trabajo de campo). Limitación de la finalidad: Los datos personales sólo podrán ser recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines. Estos fines deben ser siempre de investigación y no para otras actividades comerciales o promocionales dirigidas individualmente a los entrevistados. El tratamiento ulterior de los datos personales con fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales. Minimización de datos: Los datos personales serán adecuados, pertinentes y limitados a lo necesario en relación con los fines de investigación para los que son tratados. Cuando se empleen métodos de recogida pasiva de datos en los que no sea posible obtener el consentimiento del participante, la organización adherida debe tener una base legal para recoger los datos (véase art. 11 de este Código de Conducta) y debe eliminar u ocultar cualquier característica identificativa de los participantes tan pronto como sea operacionalmente posible. Exactitud: Los datos deben ser exactos y, si fuera necesario, actualizados. Se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines de investigación para los que se tratan, considerándose como exactos cuando sean facilitados por el entrevistado. En el caso de panelistas, es una buena práctica configurar el portal online del panelista de forma que puedan actualizar sus datos personales por sí mismos y que se les recuerde frecuentemente sobre esta posibilidad. En el caso de entrevistados/participantes en una investigación ad hoc, no será necesario actualizar los datos personales cuando la finalidad del tratamiento de sus datos sea únicamente su participación en un proyecto de investigación concreto, validar la recogida de la información y posteriormente eliminar los datos personales. Limitación del plazo de conservación:


Los datos personales serán mantenidos de forma que se permita la identificación de los entrevistados durante no más tiempo del necesario para los fines de investigación, incluyendo la participación en un panel. En una investigación ad hoc, normalmente este plazo de conservación debe incluir el tiempo necesario para la participación del entrevistado en la investigación y para la validación de la recogida de información. Este plazo no debe ser superior a 6 meses tras la finalización de la investigación o, en caso excepcional de que sea necesario superar dicho plazo, debe documentarse el plazo establecido y los motivos excepcionales para su ampliación. En caso de panelistas, el plazo de conservación vendrá determinado por la baja del panelista en el panel, ya sea por voluntad del panelista o por que haya finalizado su participación conforme a las normas propias del panel en concreto. Dichas normas deberán ser transparentes con el panelista. Por ejemplo, es habitual que los participantes en un panel de audiencia de medios permanezcan en el panel un máximo de 5 años. Los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de investigación científica o histórica o fines estadísticos, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas a fin de proteger los derechos y libertades del entrevistado. También puede ser necesario conservar los datos durante periodo más largos para cumplir una obligación legal; por ejemplo, registro de transacciones económicas con el entrevistado para el cumplimiento de obligaciones fiscales. Integridad y confidencialidad: Los datos personales serán tratados de tal manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Véase el Título IV de este Código de Conducta sobre Medidas de Seguridad. Artículo 11. Obtención de los datos de carácter personal En un proceso de investigación, normalmente se obtienen datos de carácter personal de un entrevistado para alguna de las siguientes finalidades:

Captar a un entrevistado para que colabore en un panel de entrevistados y participe en los proyectos de investigación para los que sea invitado a proporcionar respuestas o información (por ej. opiniones, hábitos de consumo, etc.).

Identificar a un entrevistado para un proceso de investigación ad hoc con objeto de poder re-contactarle posteriormente con la finalidad de completar o aclarar alguna de sus respuestas, o para validarlas.

Re-contactar con el entrevistado con fines de control de calidad (validación de la recogida de información o del trabajo de campo).

Se prohíbe la recogida de datos personales por medios fraudulentos, desleales o ilícitos. El tratamiento solo será lícito si tiene alguna de las siguientes bases legales: a) Consentimiento del entrevistado: El tratamiento de datos personales será lícito si el entrevistado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines de investigación. La organización adherida debe asegurarse de que la participación es voluntaria y se basa en información adecuada y no engañosa relativa al propósito y naturaleza de la investigación.


La organización adherida deberá ser capaz de demostrar que el entrevistado consintió el tratamiento de sus datos personales. La solicitud de consentimiento se presentará utilizando un lenguaje claro y sencillo. En el caso de una investigación ad hoc, es aceptable que la solicitud de consentimiento se incluya en el mismo soporte en el que se recogen las respuestas o información del entrevistado o en el que se le capta para participar en una investigación; por ejemplo, mediante la inclusión en el cuestionario de una pregunta solicitando el consentimiento y cuya respuesta afirmativa sólo debe quedar marcada una vez que se haya obtenido el consentimiento del entrevistado. Véase Anexo 4 para modelo de solicitud de consentimiento. No será suficiente el consentimiento obtenido de forma tácita (por ejemplo: “salvo que usted nos comunique lo contrario…”). En caso de captación de panelistas (ya sea mediante captación directa o tras la participación en un proceso de investigación ad hoc), en el cuestionario (u otra herramienta empleada para el alta del panelista) se deberá obtener el consentimiento e informar a los candidatos potenciales. Para ello, se deberá emplear una indicación en ese sentido. A partir de este momento, en cada contacto con el panelista, se le informará sobre los aspectos relevantes relativos a protección de datos personales y de sus derechos. Véase Anexo 4 para modelo de consentimiento, que en caso de obtenerse por internet se puede emplear un vínculo que lleve a otra página o mediante una ventana emergente (pop-up). En caso de captación de entrevistados para una investigación cualitativa, al obtener el consentimiento se deberá informar a las personas captadas, si es el caso, de que el proceso de investigación será grabado (audio/video/transcripción de chat online) antes del inicio de la reunión de grupo o entrevista en profundidad, obteniéndose su consentimiento para utilizar dicha grabación. En caso de captación online, este texto debe incluirse en el mail de invitación o en la página de acceso a la sala online. Es recomendable recordar la información sobre el consentimiento obtenido en el recibí del incentivo, véase Anexo 4 para modelo. Si el entrevistado no da su consentimiento, no se podrán tomar sus datos personales y se podrá finalizar su participación en el proceso de investigación. El entrevistado tendrá derecho a revocar su consentimiento en cualquier momento, aunque ello implique la finalización de su participación en la investigación. Será tan fácil revocar el consentimiento como darlo. Véase el art. 14 de este Código de Conducta para cuando el entrevistado sea un menor o sea considerado como persona vulnerable. b) Ejecución de un contrato: El tratamiento de datos personales es lícito si es necesario para la ejecución de un contrato en el que el entrevistado es parte o para la aplicación a petición de este de medidas precontractuales. Por ejemplo, en el caso de panelistas, conforme al acuerdo entre el panelista y la organización adherida. En caso de proyectos de investigación realizados a los clientes/consumidores de quien encarga la investigación, conforme al acuerdo o contrato que mantengan estos. c) Obligación legal: El tratamiento de datos personales es lítico si es necesario para el cumplimiento de una obligación legal aplicable a la organización adherida. Por ejemplo, para cumplir obligaciones fiscales. d) Interés legítimo de la organización adherida o de un tercero: El tratamiento de datos personales es lícito si es necesario para la satisfacción de intereses legítimos perseguidos por la organización adherida o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del entrevistado


que requieran la protección de datos personales, en particular cuando se trate de un menor de edad (véase el art. 14 de este Código de Conducta). Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el entrevistado y quien encarga la investigación (para quien la organización adherida actuará como encargado del tratamiento), como en situaciones en las que el entrevistado es cliente/consumidor o está al servicio del responsable. Los intereses y los derechos fundamentales del entrevistado podrían prevalecer cuando se traten sus datos personales en circunstancias en las que no espere razonablemente que se realice un tratamiento ulterior. La organización adherida que forme parte de un grupo empresarial, o de entidades afiliadas a un organismo central, puede tener un interés legítimo en transmitir datos personales dentro del grupo empresarial para fines administrativos internos, debiéndose cumplir en su caso las normas relativas a la transferencia internacional de datos (véase art. 15 de este Código de Conducta). 12. Información para el entrevistado La organización adherida deberá informar al entrevistado sobre el tratamiento de sus datos personales en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un menor o persona vulnerable. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el entrevistado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del entrevistado por otros medios. 12.1 Información que deberá facilitarse cuando los datos personales se obtengan del entrevistado: a) La identidad y los datos de contacto de la organización adherida. b) Los datos de contacto del delegado de protección de datos, en su caso (véase el art. 21 de este Código de Conducta). c) Los fines de investigación del tratamiento a que se destinan los datos personales y la base legal del tratamiento (véase lo indicado más arriba en este artículo sobre la base legal). d) Cuando el tratamiento se base en el interés legítimo, cuáles son los intereses legítimos de la organización adherida o del tercero. e) Los destinatarios o las categorías de destinatarios a los que se van a comunicar los datos personales, en su caso. Esto puede incluir los casos de comunicación de los datos personales a otras entidades del mismo grupo empresarial, a proveedores de servicios de investigación o a quien encargó la investigación, sin que sea necesario identificarles. En caso de proveedores de servicios de investigación, es aceptable informar al entrevistado de que sus datos personales se comunicarán al tipo de proveedores de que se trate. En caso de comunicación a quien encargó la investigación, es aceptable no informar de la identidad de quien encargó la investigación hasta que se finalice la participación en la investigación para no sesgar las respuestas del entrevistado. f) En su caso, la intención de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de dicha transferencia (véase el art. 15 de este Código de Conducta).


g) El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo. Véase lo indicado en relación al principio de “Limitación del plazo de conservación” más arriba e este artículo. h) La existencia del derecho a solicitar a la organización adherida el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos. Véase el Título VII de este Código de Conducta. i) Cuando el tratamiento esté basado en el consentimiento, la existencia del derecho a retirar el consentimiento en cualquier momento; j) El derecho a presentar una reclamación ante la AEPD; k) Si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el entrevistado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos. Esto puede ocurrir en caso de un panelista al que se le debe informar de que, si no proporciona los datos personales requeridos, no podrá cursarse su alta en el panel. l) La existencia de decisiones automatizas, incluida la elaboración de perfiles, cuando dichas decisiones automatizadas produzcan efectos jurídicos sobre el entrevistado o le afecte significativamente de modo similar. La información a proporcionar debe incluir los aspectos significativos sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el entrevistado. Normalmente no será necesario dar esta información ya que en el contexto de una investigación de mercado este tipo de decisiones automatizadas o la elaboración de perfiles sociodemográficos con objeto de seleccionar entrevistados o participantes no debe producir efectos jurídicos sobre el entrevistado. 12.2 Información que deberá facilitarse cuando los datos personales no se obtengan del entrevistado: Cuando los datos personales no se hayan obtenido del entrevistado, la organización adherida debe facilitarle la misma información que para cuando se hayan obtenido del entrevistado, además de la siguiente: a) Las categorías de datos personales de que se trate. Por ejemplo, su nombre, dirección postal o electrónica, número de teléfono, etc. b) La fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público. Cuando el origen de los datos personales no pueda facilitarse al entrevistado por haberse utilizado varias fuentes, debe facilitarse información general. En caso de entrevistados provenientes de un fichero de contactos suministrados por el cliente, los entrevistados deberán ser informados de forma expresa, precisa e inequívoca de la identidad del cliente que ha entregado sus datos. En caso de que se considere que el hecho de informar al entrevistado de la identidad del cliente pueda sesgar las respuestas del entrevistado y, por tanto, afectar negativamente al proceso de investigación, se informará al entrevistado en forma genérica de que sus datos han sido suministrados “por quien ha encargado la investigación” y que se le informará si lo desea de su identidad al finalizar la entrevista para no condicionar sus respuestas. Si el entrevistado no acepta participar en el proceso de investigación en estas condiciones, se le deberá informar de la identidad del cliente y se podrá cancelar la entrevista. Si el entrevistado


acepta participar en el proceso de investigación, se le deberá informar de la identidad del cliente al principio o al finalizar la entrevista, según sea más conveniente para evitar que afecte negativamente al proceso de investigación. La organización adherida debe facilitar esta información dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos. Si los datos personales han de utilizarse para comunicación con el entrevistado, a más tardar en el momento de la primera comunicación al entrevistado. Si está previsto comunicarlos a otras entidades del mismo grupo empresarial, a un proveedor o a quien encargó la investigación, a más tardar en el momento en que los datos personales sean comunicados por primera vez. No será necesario facilitar la información al entrevistado cuando resulte imposible o exija un esfuerzo desproporcionado, en particular para el tratamiento con fines de investigación científica o histórica o fines estadísticos. En estos casos se deben adoptar medidas técnicas y organizativas para garantizar el respeto del principio de minimización de los datos personales:

procedimientos de disociación de los datos personales, o

mediante un tratamiento que no permita o ya no permita la identificación de los entrevistados. 12.3 Uso de metodologías especiales en la recogida de datos En las actividades de investigación de mercado se aplican metodologías que aprovechan los avances tecnológicos que la sociedad de la información permite en cada momento. Algunas de estas metodologías son:

Eye tracking (seguimiento de ojos) o facial coding (codificación facial);

Digital fingerprint (huella digital);

Geolocalización;

Online communities (comunidades en línea);

Wearables (tecnología ponible);

In-store tracking (seguimiento en tienda);

App’s. Los requisitos legales para la protección de datos conciernen exclusivamente al tratamiento de los datos de identificación personal. Esto incluye cualquier información relativa a una persona física identificada o identificable. Una persona identificable es alguien que se puede identificar directamente (por ejemplo, el nombre); o de forma indirecta, en particular mediante un número de identificación o de las características físicas, fisiológicas, mentales, económicas, culturales o sociales de la persona, y su ubicación. Cuando se recogen de forma pasiva datos que no contienen identificación personal de los interesados (por ejemplo, un conteo), no serían aplicables las normas relativas a la protección de datos. Sin embargo, en algunas ocasiones sí puede conllevar la recogida de datos que permitan identificar a una persona. En estos casos, es importante tener en cuenta que: 1. Se debe obtener el consentimiento informado de los entrevistados o personas afectadas antes

de que los datos de identificación personal puedan ser procesados. El entrevistado debe conocer la naturaleza de los datos recogidos, las razones para su procesamiento y qué se hará con ellos. No se debe confundir, mentir o engañar a los entrevistados. La participación es voluntaria y los entrevistados pueden retirarse en cualquier momento.

2. El uso de los datos personales debe estar restringido a los que el interesado haya aceptado. Al

recopilarse con fines de investigación, no se pueden utilizar para otros fines ajenos a una investigación científica o histórica, o fines estadísticos.


3. Los datos recogidos deben ser adecuados y no excesivos en relación a la finalidad perseguida

(véase lo indicado sobre “Minimización de datos” en el art. 10 de este Código de Conducta). Por ejemplo, cuando se usa una metodología de eye tracking, la finalidad es determinar los aspectos que atraen la mirada del entrevistado, no el color de sus ojos ni su salud visual. Es conveniente aclarar al entrevistado que participa en este tipo de investigación los datos que se recogen y la finalidad de su tratamiento.

4. Separar los datos recogidos mediante estas metodologías o técnicas de otros datos de

identificación lo antes posible con objeto de permitir un tratamiento estadístico. Véase lo indicado en la definición de procedimiento de disociación del artículo 1.

5. Mantener los datos de identificación el tiempo estrictamente necesario para la finalidad para la

que fueron recogidos, eliminándolos cuando ya no sean necesarios para dicha finalidad. 6. En caso de que un proceso de investigación incluya la obtención de imágenes o sonidos del

servicio o instalación objeto de la investigación, se deberán aplicar medidas para evitar que las imágenes o sonidos incluyan datos de carácter personal, salvo que se obtenga el consentimiento conforme se establece en este artículo 11. Por ejemplo, borrando o difuminando las personas físicas que puedan incluirse en las imágenes o distorsionando la voz.

Artículo 13. Destino de los datos de carácter personal Una vez finalizado el trabajo de campo y su validación, si no es necesario re-contactar a los entrevistados para algún proceso posterior de la investigación (véase lo indicado en el principio de “Limitación del plazo de conservación” del art. 10 de este Código de Conducta), se debe realizar un proceso de disociación separando los datos personales (datos de identificación) de los entrevistados de sus respuestas con objeto de que se conserven sólo las respuestas de los entrevistados y que estas sólo puedan analizarse conforme a criterios sociodemográficos sin identificar al entrevistado. Esta disociación se podrá realizar:

Cuestionarios en papel (PAPI): separando físicamente la hoja del cuestionario que contiene los datos de identificación de los entrevistados. Para ello, es conveniente que se diseñe el cuestionario de forma que estos datos vayan siempre en hoja a parte y que se asegure que en ninguna otra hoja del cuestionario se incluyan datos de identificación de los entrevistados. Los datos de identificación no se incluirán en el proceso de grabación de datos (las respuestas de los entrevistados o su perfil sociodemográfico).

Cuestionario electrónico (CATI, CAPI, CASI, CAWI): realizando una “limpieza” de datos de identificación del fichero de datos del estudio de manera que se asegure de que no queden datos de identificación de los entrevistados.

La destrucción de los datos de identificación de los entrevistados se deberá realizar de forma que no puedan ser recuperados posteriormente ni puedan ser accesibles por terceros. Se debe asegurar que en los registros de validación se identifique la entrevista o captación validada, pero no al entrevistado (por ejemplo: mediante un nº de cuestionario, el perfil sociodemográfico o la fecha/hora de la reunión de grupo). En caso de entrevistados provenientes de un fichero de contactos suministrados por el cliente, con objeto de cumplir el requisito incluido en el contrato de comunicación de datos personales a un encargado del tratamiento (véase el Título V de este Código de Conducta), es recomendable asegurarse de que el fichero se elimina una vez finalizado el proceso de investigación. La eliminación del fichero debe realizarse conforme se haya acordado con el cliente o al finalizar el proceso de investigación para el cual lo suministró (normalmente un plazo de 6 meses tras la


entrega de los resultados se considera suficiente para realizar posibles controles adicionales requeridos por el cliente). Es recomendable informar de este plazo al cliente (por ejemplo, en el proyecto de la investigación). La eliminación debe incluir todos los ficheros que se hayan generado o recibido con datos de carácter personal, dejando constancia de la destrucción y confirmando mediante e-mail al cliente sobre la eliminación del fichero. Se debe asegurar quelas normas sobre eliminación de ficheros son cumplidas por todas las oficinas/departamentos y proveedores involucrados. Si se va a entregar grabaciones de audio/video al cliente, aunque se haya informado y obtenido el consentimiento de los entrevistados, es recomendable que la grabación a entregar no permita identificar a los entrevistados. Normalmente una grabación con sólo audio no identifica a los entrevistados, siempre que estos no se identifiquen más que con su nombre de pila y circunstancias sociodemográficas. Sin embargo, ante la posibilidad de que una grabación de audio pueda hacer identificable a un entrevistado, es recomendable modificar la grabación siempre que sea posible de forma que no se pueda identificar a los entrevistados. En caso de que no sea posible modificar la grabación, se añadirá una nota en el soporte de la grabación (CD, VHS, DVD, etc.) en la que se informe al cliente sobre aspectos de ESOMAR y protección de datos:

• Prohibición de ceder las grabaciones a terceros, • No usar las grabaciones para fines distintos de los objetivos de la investigación indicados

en el consentimiento aceptado por el entrevistado, • Que el titular del fichero es la organización adherida a este Código de Conducta y que el

cliente tiene acceso a los datos en cumplimiento del proceso de investigación encargado. Esta nota puede incluirse en un mail o carta que acompañe al envío o escrito en un documento electrónico que se incluirá en el soporte. En el caso de que el cliente observe el proceso de investigación online (ej. video-streaming), la información anterior se podrá incluir en la página de acceso a la de visionado. Con objeto de lograr una anonimización o agregación plena de los resultados de la investigación de forma que se impida la posibilidad de vincular las respuestas u opiniones obtenidas en el proceso de la investigación con sujetos concretos o con un universo sumamente reducido, cuando los resultados de la investigación deberán ir referidos a una base muestral mínima de 50 entrevistados en estudios cuantitativos y de 6 en estudios cualitativos. Artículo 14. Protección de menores o personas vulnerables Cuando el entrevistado sea considerado como persona vulnerable, la organización adherida debe asegurarse de que tales personas son capaces de tomar decisiones informadas y que no sean presionadas de forma indebida para cooperar en una solicitud de investigación. La actividad de investigación de mercado no deberá perjudicar moral o físicamente a los menores ni personas vulnerables y tendrá, por consiguiente, que respetar los siguientes principios: a) Se deberá evitar los contenidos dirigidos únicamente a adultos (por ejemplo, investigación

sobre bebidas alcohólicas o sobre tabaco). b) No se deberá incitar directamente a los menores o personas vulnerables a la participación en

una investigación, explotando su inexperiencia o su credulidad, ni a que persuadan a sus padres o tutores, o a los padres o tutores de terceros, para que participen.

c) No se deberá, sin tomar las pertinentes medidas de seguridad, presentar a los menores o personas vulnerables en situaciones potencialmente peligrosas (por ej. ciertas pruebas de productos o servicios).

14.1 Tratamiento de datos de menores


Para recoger datos o comunicarse con menores, las organizaciones adheridas deberán tener en cuenta la edad, el conocimiento y la madurez de su público objetivo. Las organizaciones adheridas deberán obtener el consentimiento de sus padres o tutor legal antes de recoger datos personales de un menor, y establecer mecanismos que aseguren razonablemente, de acuerdo con el desarrollo de la tecnología, que han comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento de aquéllos, véase Anexo 4 para modelo. En ningún caso podrán cederse los datos relativos a menores sin el previo consentimiento de sus padres o tutor legal. Las organizaciones adheridas deberán ofrecer a los padres o tutor legal información acerca de cómo ejercer los derechos de acceso, rectificación, cancelación y determinación de la finalidad sobre los datos de aquéllos. En ningún caso podrán recabarse del menor datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y dirección del padre, madre o tutor legal con la única finalidad de recabar la autorización. La organización adherida debe hacer los esfuerzos que sean razonables para verificar que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el menor, teniendo en cuenta la tecnología disponible (por ej. en caso presencial, mediante la identificación oficial pertinente, y en caso online mediante las correspondientes preguntas al padre o tutor legal). Artículo 15. Transferencias internacionales de datos Nota previa: hasta la fecha de aplicación del RGPD (mayo 2018), las organizaciones adheridas que realicen transferencias internacionales de datos deberán comprobar que dichas transferencias cumplen lo establecido en la LOPD y en el RLOPD. En el curso de una investigación de mercado es posible que la organización adherida precise comunicar datos a otras entidades del mismo grupo empresarial o a proveedores ubicados en otros países; por ejemplo, para la realización de análisis estadísticos. Lo indicado en este artículo sólo es aplicable cuando la transferencia incluya datos personales de los entrevistados, lo que no es muy frecuente ya que normalmente los análisis estadísticos se realizan sólo sobre los datos estadísticos agregados (derivados de las respuestas o información obtenida de los entrevistados) y no sobre los datos personales. Toda transferencia internacional de datos personales a un país fuera del Espacio Económico Europeo o de la Unión Europea que realice la organización adherida, incluida la relativa a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional, deberá realizarse por: Transferencias basadas en una decisión de adecuación Podrá realizarse una transferencia de datos personales a un tercer país u organización internacional cuando la Comisión haya decidido que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o la organización internacional de que se trate garantizan un nivel de protección adecuado. Dicha transferencia no requerirá ninguna autorización específica. La Comisión publicará en el Diario Oficial de la Unión Europea y en su página web una lista de terceros países, territorios y sectores específicos en un tercer país, y organizaciones


internacionales respecto de los cuales haya decidido que se garantiza, o ya no, un nivel de protección adecuado. Para más facilidad, esta lista podrá consultarse en la AEPD. Transferencias mediante garantías adecuadas Podrá realizarse una transferencia de datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los entrevistados cuenten con derechos exigibles y acciones legales efectivas. Estas garantías incluyen cuando se cuente con:

normas corporativas vinculantes, o

cláusulas tipo de protección de datos adoptadas por la Comisión. Véase el RGPD para más detalle sobre los requisitos para las transferencias internacionales. No obstante, el artículo 49 del RGPD, establece las excepciones a la norma general. Entre otras, se podrán realizar transferencias a países que no proporcionen un nivel adecuado cuando el entrevistado haya dado su consentimiento explícito a la transferencia, cuando sea necesaria para la ejecución de un contrato entre el entrevistado y la organización adherida o para la adopción de medidas precontractuales adoptadas a petición del entrevistado, o cuando la transferencia sea necesaria para la celebración o ejecución de un contrato celebrado o por celebrar, en interés del entrevistado, por la organización adherida y un tercero. Artículo 16. Uso de cookies y dispositivos similares Las cookies son pequeños ficheros de datos generados a través de instrucciones enviadas por los servidores web a los navegadores de los entrevistados, y que se guardan en un directorio específico del terminal de aquéllos, con el objetivo de reunir información compilada por el propio fichero. Las organizaciones adheridas proveerán a los entrevistados de información clara y comprensible sobre la presencia y la finalidad de las cookies u otros dispositivos o técnicas similares, poniendo a su disposición mecanismos sencillos y gratuitos para informarles sobre cómo desactivarlas. Asimismo, se avisará de forma clara cuándo queda imposibilitado el acceso o la utilización de un servicio interactivo por ser necesario el envío e instalación de cookies u otros dispositivos o técnicas similares en el terminal del entrevistado. Las cookies u otras técnicas se utilizarán de forma disociada y nunca individualizada o relacionada a los datos personales de los entrevistados, de forma que la información que se obtenga no pueda asociarse a persona identificada o identificable, salvo que el entrevistado haya dado su consentimiento. En particular, cuando se utilicen cookies o pixels transparentes u otras técnicas asimilables, se proporcionará a los entrevistados información clara y comprensible sobre su objetivo y de su utilización desvinculada de cualquier dato de carácter personal. El tratamiento de las cookies es extrapolable por analogía a otras técnicas de monitorización de la conducta de los entrevistados en su utilización de medios electrónicos de comunicación a distancia. Es importante tener en cuenta que una dirección IP es considerada como dato personal ya que en determinadas circunstancias permitiría identificar el equipo desde el que navega un usuario. Se recomienda la consulta de la Guía sobre el uso de las cookies disponible en la web de la AEPD. Artículo 17. Llamadas telefónicas aleatorias


Para algunas actividades de investigación de mercado (normalmente mediante métodos CATI) se realizan llamadas telefónicas aleatorias con objeto de invitar a los entrevistados a participar en un proceso de investigación. Este tipo de llamadas en ningún caso tendrán fines comerciales o publicitarios. Cuando se realicen este tipo de llamadas telefónicas, la organización adherida deberá informar al entrevistado de cómo se ha obtenido el número de teléfono. Por ejemplo: de una base de datos propia o ajena (identificando la fuente en este último caso), o por un sistema de generación aleatoria de números de teléfono. En el caso de utilizar una base de datos de un cliente, la organización adherida deberá asegurarse de que los sujetos incluidos en esta base de datos forman parte de ella teniendo una expectativa razonable de que serán contactados con fines de investigación. Para algunos entrevistados este método de recibir invitaciones a participar en procesos de investigación puede ser considerado como intrusivo o molesto. Por ello, es recomendable emplear algún sistema para evitar la repetición excesiva de llamadas al mismo número cuando no se obtiene respuesta al cabo de varios intentos o no llamar a las personas adheridas a listas Robinson.


TÍTULO IV MEDIDAS DE SEGURIDAD

Artículo 18. Seguridad de los datos personales Nota previa: hasta la fecha de aplicación del RGPD (mayo 2018), las organizaciones adheridas deberán cumplir las medidas de seguridad establecidas en la LOPD y en el RLOPD (art. 81 y siguientes). 18.1 Análisis de riesgos y evaluación de impacto relativa a la protección de datos La organización adherida deberá realizar un análisis de los riesgos de los tratamientos de datos personales que lleve a cabo y documentar los resultados de dicho análisis de riesgos. Se recomienda emplear los instrumentos publicados por la AEPD. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, la organización adherida realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Se recomienda a la organización adherida consultar las listas publicadas por la AEPD de los tipos de operaciones de tratamiento que requieran o no una evaluación de impacto relativa a la protección de datos para comprobar si afectan a las actividades de investigación que desarrollan. Normalmente, no será necesario que la organización adherida realice la evaluación de impacto relativa a la protección de los datos ya que: a) El objeto de la investigación de mercado no es realizar una evaluación sistemática y exhaustiva

de aspectos personales de los entrevistados (mediante un tratamiento automatizado, como la elaboración de perfiles) ni tomar decisiones que produzcan efectos jurídicos para los entrevistados o que les afecten significativamente de modo similar. La investigación de mercado debe realizarse de manera que no produzca un impacto directo sobre los entrevistados individualmente.

b) En la investigación de mercado no se realizan tratamientos a gran escala de las categorías especiales de datos (datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física) o de los datos personales relativos a condenas e infracciones penales. En una investigación de mercado se puede obtener información del entrevistado sobre dichas categorías especiales de datos (por ejemplo, en una investigación sobre la intención de voto en procesos electorales), pero siempre con objeto de agregar las respuestas o información obtenida para su tratamiento estadístico sobre grupos poblacionales y no con la finalidad de analizar las categorías especiales de datos de un entrevistado en particular.

c) En la investigación de mercado no se realiza una observación sistemática a gran escala de una zona de acceso público. En algunos tipos de investigación por observación (por ejemplo, conteos de afluencia a un transporte público o a un establecimiento) se puede recoger información sobre un elevado número de personas físicas, pero no la identidad de dichas personas.

Sin embargo, deberá realizarse la evaluación de impacto cuando no concurra alguna de las circunstancias en las condiciones descritas anteriormente. Se tendrá especial cuidado con datos de geolocalización o cuando el tratamiento perfile negativamente a un grupo de personas identificadas individualmente (por ejemplo, empleados de una empresa).


En caso de que sea necesario realizar la evaluación, esta deberá incluir como mínimo: a) Una descripción sistemática de las operaciones de tratamiento previstas en el proceso de

investigación y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por la organización adherida.

b) Una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad de investigación.

c) Una evaluación de los riesgos para los derechos y libertades de los entrevistados. d) Las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y

mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Código de Conducta y con la legislación aplicable, teniendo en cuenta los derechos e intereses legítimos de los entrevistados y de otras personas afectadas.

Cuando, como resultado de la evaluación de impacto, se considere que el tratamiento entraña un alto riesgo y a la organización adherida no le es posible tomar medidas para para mitigarlo, deberá consultar a la AEPD antes de comenzar el tratamiento. 18.2 Seguridad y protección de datos Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de los entrevistados, la organización adherida aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Código de Conducta y la legislación aplicable. Dichas medidas se revisarán y actualizarán cuando sea necesario. La adhesión a este Código de Conducta podrá ser utilizada para demostrar el cumplimiento de las obligaciones por parte de la organización adherida. La organización adherida aplicará, tanto en el momento de organizar el tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas concebidas para aplicar de forma efectiva los principios de protección de datos e integrar las garantías necesarias en el tratamiento. Estas medidas deben incluir, según corresponda:

La disociación, una vez que se haya finalizado la investigación (véase lo indicado sobre “Limitación del plazo de conservación” en el art. 10 de este Código de Conducta), y el cifrado de los datos personales en caso de que se conserven.

La minimización de datos personales (véase lo indicado sobre “Minimización de datos” en el art. 10 de este Código de Conducta), de forma que sólo se traten aquellos que sean necesarios para la finalidad de la investigación. Por ejemplo, no pedir la edad o el sexo del entrevistado, cuando no sea necesario para el perfil sociodemográfico perseguido.

La garantía de que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esto afecta tanto a la “cantidad” de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. La organización adherida deberá implantar medidas técnicas y organizativas para evitar que los datos personales se conserven sin control. Por ejemplo, borrando los ficheros temporales (con datos personales de los entrevistados) empleados para contactar con los entrevistados, una vez que ya no es necesario contactarles.

La garantía de que, por defecto, los datos personales no sean accesibles a un número indeterminado de colaboradores de la organización adherida. Por ejemplo, estableciendo los permisos informáticos pertinentes de forma individualizada por usuario para acceder a los recursos informáticos donde se conserven los datos personales.

La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.


Los procesos de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

No obstante, mientras sea de aplicación el RLOPD se tendrá en cuanta lo establecido sobre los niveles de las medidas de seguridad en su artículo 81 y siguientes. 18.3 Violación de la seguridad de los datos personales En caso de violación de la seguridad de los datos personales, la organización adherida la notificará a la AEPD sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Véase lo indicado en el art. 18.1 de este Código de Conducta sobre riesgos. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, la organización adherida la comunicará además al entrevistado sin dilación indebida. 18.4 Registro de las actividades de tratamiento Cuando se cumpla alguna de las condiciones siguientes, la organización adherida deberá llevar un registro de las actividades de tratamiento efectuadas bajo su responsabilidad:

la organización adherida emplee a más de 250 personas, o

cuando el tratamiento de los datos personales pueda entrañar un riesgo para los derechos y libertades de los entrevistados, no sea ocasional, o incluya categorías especiales de datos personales (datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física).

Dicho registro deberá contener la siguiente información respecto a cada uno de los tratamientos efectuados: a) El nombre y los datos de contacto dela organización adherida y, en su caso, del delegado de

protección de datos. b) Los fines del tratamiento. c) Una descripción de las categorías de entrevistados y de las categorías de datos personales. d) Las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales,

incluidos los destinatarios en terceros países u organizaciones internacionales. e) En su caso, las transferencias de datos personales a un tercer país o una organización

internacional, incluida la identificación de dicho tercer país u organización internacional y, en su caso, la documentación de garantías adecuadas.

f) Cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos.

g) Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad establecidas.

Aunque la organización adherida (responsable del tratamiento) no cumpla ninguna de las condiciones, deberá mantener un registro que cubra al menos los apartados b), c), d) y g). Cuando la organización adherida actúe como encargado de tratamiento por cuenta de otra entidad que sea la responsable del tratamiento (por ejemplo, cuando se realice una investigación sobre una base de datos proporcionada por el cliente), el registro deberá contener:


a) El nombre y los datos de contacto dela organización adherida y, en su caso, del delegado de

protección de datos. b) Las categorías de tratamientos efectuados por cuenta de cada una de las otras entidades que

sean el responsable del tratamiento (por ejemplo, de cada cliente). c) En su caso, las transferencias de datos personales a un tercer país u organización

internacional, incluida la identificación de dicho tercer país u organización internacional y, en su caso, la documentación de garantías adecuadas.

d) Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad establecidas.

Aunque la organización adherida (encargada del tratamiento) no cumpla ninguna de las condiciones, deberá mantener un registro que cubra al menos los apartados b), c) y d). La organización adherida pondrá el registro a disposición de la AEPD cuando se lo solicite.


TÍTULO V ENCARGADO DE TRATAMIENTO

Artículo 19. Encargado de tratamiento Ejemplos de situaciones en las que se considera que hay un encargado de tratamiento: a) Relación con empresas de envíos postales: Cuando se contrate a una tercera empresa que le preste servicios de envíos postales de incentivos, si para ello le entrega un fichero con datos personales de entrevistados, aunque sólo sean de carácter identificativo (nombre, apellidos y domicilio). b) Recogida de datos: Cuando se contrate a un tercero la captación o la recogida de datos de entrevistados en un estudio de investigación de mercados. c) Proceso de datos externo: Cuando se contrate a un tercero los servicios de tratamiento estadístico de datos, siempre que estos no estén anonimizados. d) Servicios de almacenamiento de datos a través de la red (hosting y housing): Cuando se contraten servicios de almacenamiento de su página web (hosting) o de almacenamiento físico del servidor en que la alberga, cuando en esa página web se traten datos de carácter personal (por ejemplo, para la gestión de panelistas o para investigación online).Si la tercera empresa estuviera establecida en un tercer país (transferencia internacional de datos),véase lo indicado en el artículo 15 de este Código de Conducta. La organización adherida elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos legales aplicables y garantice la protección de los derechos del entrevistado. La organización adherida deberá estipular mediante contratos aquellas relaciones con terceras organizaciones que le presten un servicio relacionado con la investigación cuando dicho servicio incluya el tratamiento de datos de carácter personal de la organización adherida por parte de la organización prestadora del servicio. Los contratos, que deberán constar siempre por escrito, establecerán el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos de las partes. Además, el contrato deberá estipular que el prestador del servicio: a) Deberá tratar los datos personales únicamente siguiendo instrucciones documentadas de la organización adherida, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional. b) Deberá garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria. c) Tomará todas las medidas necesarias técnicas y organizativas conforme a este Código de Conducta. d) Respetará las condiciones indicadas en dicho contrato para recurrir a otro encargado del tratamiento (por ejemplo, un sub-contratista). e) Asistirá a la organización adherida, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que esta pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados (véase el Título VII de este Código de Conducta). f) Ayudará a la organización adherida a garantizar el cumplimiento de las obligaciones establecidas en el artículo 11 de este Código de Conducta, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del prestador del servicio.


g) A elección de la organización adherida, suprimirá o devolverá todos los datos personales una vez finalice la prestación del servicio, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales por obligación legal. h) Pondrá a disposición dela organización adherida toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el contrato, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte dela organización adherida o por un auditor autorizado por ella. En el Anexo 6 de este Código de Conducta, se encuentra un modelo de contrato de encargado de tratamiento. En el caso de que el prestador del servicio destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido.


TÍTULO VI DELEGADO DE PROTECCIÓN DE DATOS

Artículo 20. Delegado de protección de datos Cuando sea una obligación legal, la organización adherida deberá designar un delegado de protección de datos. El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos en el sector de la investigación de mercado, y a su capacidad para desempeñar las funciones indicadas (véase el artículo 21 de este Código de Conducta). El delegado de protección de datos, sea o no empleado de la organización adherida, debe estar en condiciones de desempeñar sus funciones y cometidos de manera independiente. Un grupo empresarial podrá nombrar un único delegado de protección de datos siempre que sea fácilmente accesible desde cada establecimiento. El delegado de protección de datos debería participar de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales que se susciten en la organización adherida. Debe recibir el respaldo de la alta dirección de la organización adherida evitando que reciba ninguna instrucción en lo que respecta al desempeño de sus funciones. Debe disponer de los recursos necesarios para el desempeño de sus funciones. El delegado de protección de datos podrá desempeñar otras funciones y cometidos. El responsable o el encargado del tratamiento publicarán los datos de contacto del delegado de protección de datos y los comunicarán a la AEPD. Aún cuando no sea una obligación legal, la organización adherida podrá designar un delegado de protección de datos con los mismos requisitos establecidos en este artículo. Cuando no se designe un delegado de protección de datos, es recomendable que la organización adherida cuente con la ayuda de una persona con conocimientos especializados en protección de datos. Artículo 21. Funciones del delegado de protección de datos El delegado de protección de datos deberá tener, entre otras, las siguientes funciones: a) Informar y asesorar a la organización adherida y a los empleados que se ocupen del

tratamiento de las obligaciones legales que les incumben. b) Supervisar el cumplimiento de los requisitos legales aplicables a la protección de datos y de las

políticas internas en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes.

d) Cooperar con la AEPD, específicamente notificando los casos de violación de la seguridad de los datos personales.

e) Actuar como punto de contacto de la AEPD para cuestiones relativas al tratamiento de datos de carácter personal.


TÍTULO VII EJERCICIO DE DERECHOS

Artículo 22. Ejercicio de derechos Las organizaciones adheridas deberán garantizar a los entrevistados el ejercicio de los derechos reconocidos por la legislación aplicable, poniendo para ello a su disposición mecanismos de utilización sencillos y gratuitos y que, en ningún caso supongan un ingreso adicional para las entidades adheridas (como dirección de correo electrónico y postal o un número telefónico no reservado a servicios de tarificación adicional). A estos efectos, podrán utilizar los modelos de comunicación para cada tipo de solicitud (véase Anexo 5), indicando los datos necesarios, la documentación a adjuntar y los medios disponibles para remitirlos. Las organizaciones adheridas resolverán de forma expresa y en el plazo máximo de 20 días laborables, sobre la estimación o denegación de la solicitud recibida, debiendo indicar los motivos en caso de que fuera denegatoria. En todo caso, en la respuesta se informará al entrevistado sobre su derecho a recabar la tutela ante la autoridad de control en protección de datos. Nota: hasta la fecha de aplicación del RGPD, la organización adherida deberá resolver sobre la solicitud de rectificación, cancelación o de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Para cumplir con dichos derechos, las organizaciones adheridas seguirán en todo momento las siguientes normas: a) Los derechos de acceso, rectificación, cancelación y oposición son derechos personalísimos,

que como tales sólo podrá ejercitar el entrevistado que sea titular de los datos o persona expresamente autorizada por aquél para ello.

b) Los derechos de acceso, rectificación cancelación y oposición se refieren tanto a los datos informatizados como a los que se guarden en soporte papel.

c) Se deberá tener establecido en todo momento un procedimiento para el cumplimiento con los derechos de los entrevistados en los plazos legalmente establecidos.

22.1 Normas de aplicación común para el ejercicio de cualquiera de los derechos señalados La solicitud para el ejercicio de estos derechos deberá dirigirse a la organización adherida, conteniendo los aspectos que en cada caso sean necesarios según se indica en el Anexo 5. La solicitud de acceso a presentar por el entrevistado habrá de contener como mínimo las siguientes menciones: • Nombre, apellidos del cliente y fotocopia del DNI del mismo y, en su caso, de la persona que lo

represente, así como el documento acreditativo de tal representación. También se admitirán otros medios válidos en derecho (Sentencia firme de incapacitación, etc.).

• Petición en que se concreta la solicitud. • Domicilio a efectos de notificaciones, fecha y firma del solicitante. • Documentos acreditativos de la petición que formula, en su caso. Si la organización adherida considera que la solicitud no se puede cumplir lo comunicará al entrevistado motivadamente para que este proceda a subsanar los defectos de su solicitud o, en su caso lleve a cabo las actuaciones de reclamación que considere oportunas. En todo caso denegará la solicitud de forma motivada, por escrito y con constancia de la recepción por parte del entrevistado.


Las organizaciones adheridas deberán atender las solicitudes ejercidas por el entrevistado aun cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto, siempre que el entrevistado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. El entrevistado tiene derecho a que la organización adherida conteste siempre a la solicitud que se le formule, con independencia de que trate o no sus datos personales. Por tanto, como consecuencia de la prueba del cumplimiento del deber de respuesta de la organización adherida, esta deberá conservar la acreditación del cumplimiento de mismo, es decir, conservará los soportes (físicos o electrónicos) en los conste el cumplimiento de dicho deber. Las organizaciones adheridas adoptarán las medidas necesarias para que todo el personal que trate con entrevistados pueda informar del procedimiento a seguir por el entrevistado para el ejercicio de sus derechos. Cuando los entrevistados ejercitasen sus derechos ante un encargado del tratamiento, éste deberá dar traslado de la solicitud a la organización adherida para que atienda la solicitud, a menos que en la relación existente entre ellos se prevea precisamente que el encargado atenderá, por cuenta del responsable, las solicitudes de ejercicio por los entrevistados. Se deberá informar a los que efectúen ejercicio de derechos de su derecho a recabar la tutela de la AEPD. 22.2 El derecho de acceso El entrevistado tendrá derecho a obtener de la organización adherida confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:

Los fines del tratamiento.

Las categorías de datos personales de que se trate.

Los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular cuando se transfieran a un tercer país o a una organización internacional (informando de las garantías adecuadas).

El plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo.

La existencia del derecho a solicitar de la organización adherida la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al entrevistado, o a oponerse a dicho tratamiento.

El derecho a presentar una reclamación ante la AEPD.

Cuando los datos personales no se hayan obtenido del entrevistado, cualquier información disponible sobre su origen.

La existencia de decisiones automatizadas, incluida la elaboración de perfiles y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el entrevistado.

Las organizaciones adheridas facilitarán a los entrevistados una copia de los datos personales objeto de tratamiento. La organización adherida podrá percibir por cualquier otra copia solicitada por el entrevistado un canon razonable basado en los costes administrativos. Cuando el entrevistado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común (por ejemplo, en formato MS Office o pdf). 22.3 Los derechos de rectificación y supresión de datos


El entrevistado tiene derecho a obtener de la organización adherida la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el entrevistado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional. El entrevistado tendrá derecho a obtener de la organización adherida la supresión de los datos personales que le conciernan, que deberá suprimir los datos personales cuando: a) Los datos personales ya no sean necesarios en relación con los fines para los que fueron

recogidos o tratados de otro modo. b) El entrevistado retire el consentimiento en que se basa el tratamiento, y este no se realice

conforme a otra base legal (véase art. 11 de este Código de Conducta). c) El entrevistado se oponga al tratamiento y no prevalezcan otros motivos legítimos para el

tratamiento. d) Los datos personales hayan sido tratados ilícitamente. e) Los datos personales deban suprimirse para el cumplimiento de una obligación legal. No procederá la supresión de los datos personales cuando el tratamiento sea necesario: a) Para el cumplimiento de una obligación legal que requiera el tratamiento de datos. b) Para fines de investigación científica o histórica o fines estadísticos, en la medida en que el

derecho de supresión pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento. En estos casos, el tratamiento estará sujeto a las garantías adecuadas para los derechos y las libertades de los afectados. Dichas garantías harán que se disponga de medidas técnicas y organizativas, en particular para garantizar el respeto del principio de minimización de los datos personales. Tales medidas podrán incluir la disociación o la seudonimización, siempre que de esa forma puedan alcanzarse dichos fines.

c) Para la formulación, el ejercicio o la defensa de reclamaciones. La organización adherida notificará las supresiones y rectificaciones a aquellas entidades o terceras personas a las que hubiera comunicado los datos objeto de la supresión o rectificación (por ej. a proveedores de servicios de investigación). 22.4 El derecho a la limitación del tratamiento El entrevistado tendrá derecho a obtener de la organización adherida la limitación del tratamiento de sus datos personales cuando: a) El entrevistado impugne la exactitud de los datos personales, durante un plazo que permita a la organización adherida verificar la exactitud de los mismos. b) El tratamiento sea ilícito y el entrevistado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso. c) La organización adherida ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones. d) El entrevistado se haya opuesto al tratamiento, mientras se verifica si los motivos legítimos de la organización adherida prevalecen sobre los del entrevistado. Cuando el tratamiento de datos personales se haya limitado, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica. La organización adherida notificará la limitación del tratamiento a aquellas entidades o terceras personas a las que hubiera comunicado los datos objeto de la limitación (por ej. a proveedores de servicios de investigación).


22.5 El derecho a la portabilidad de los datos El entrevistado tendrá derecho a recibir los datos personales que le incumban, que haya facilitado a la organización adherida, en un formato estructurado, de uso común y lectura mecánica, y a que la organización los transmita a otra organización cuando sea técnicamente posible, SOLO SI: a) El tratamiento esté basado en el consentimiento o en la ejecución de un contrato, y b) el tratamiento se efectúe por medios automatizados. 22.6 Procedimiento general para facilitar el ejercicio de los derechos Los modelos incluidos en el Anexo 5 de este Código de Conducta tienen por finalidad no sólo fijar las pautas internas de la organización adherida para el cumplimiento de los derechos reseñados, sino también constituirse como elemento de conocimiento y consulta para cualquiera de sus empleados. Estos modelos se adecuarán al RGPD cuando sea de aplicación.


ANEXO 1 SOLICITUD DE ADHESIÓN AL CÓDIGO DE CONDUCTA

D/Dña. _________________, en nombre y representación de ____________________, con CIF nº____________________ y con domicilio en______________________________________. MANIFIESTA Primero.- Que cumple con todos los requisitos establecidos para el ejercicio dela actividad de investigación de mercado, social, de la opinión y del análisis de datos. Segundo.- Que cumple con las disposiciones establecidas en el Código de Conducta del sector de investigación de mercado, social, de la opinión y del análisis de datos, aceptando y sometiéndose a todo lo dispuesto en el mismo en materia de protección de datos personales. SOLICITA AL COMITÉ DE SUPERVISIÓN Y SEGUIMIENTO Que se tenga por presentada esta solicitud de adhesión al Código de Conducta y se proceda a estimar la adhesión al mismo. En ……………………, a ……, de...................de ……. Fdo.


ANEXO 2 SELLO DEL CÓDIGO DE CONDUCTA

NEXO 1SOLICITUD DE ADHESIÓN AL CÓDIGO DE CONDUCTA Condiciones de uso y difusión El Sello del Código de Conducta para el tratamiento de datos personales por las organizaciones de investigación de mercado, social, de la opinión y del análisis de datos podrá ser utilizado, en primer lugar, por las organizaciones adheridas con la finalidad de incorporarlo en documentación corporativa como pueda ser, a título ejemplificativo, ofertas, informes de resultados, carteles, paneles, folletos informativos, o bien en sus sitios web, con la finalidad de identificar claramente que los contenidos expuestos están directamente relacionados con este Código de Conducta. El Comité de Supervisión y Seguimiento podrá hacer uso del Sello, en consonancia con las funciones que tiene encomendadas en este Código de Conducta, especialmente:

Mantener accesible al público la información actualizada sobre Aneimo y Aedemo, el contenido del Código de Conducta, los procedimientos de adhesión y de garantía de su cumplimiento y la relación de organizaciones adheridas, estando dicha información permanentemente accesible por medios electrónicos.

Favorecer la accesibilidad de todas las personas a toda la información disponible sobre este Código de Conducta.

No podrá utilizar en ningún caso el sello ninguna organización no adherida, así como aquellas organizaciones adheridas cuya sanción implique la suspensión temporal o definitiva de su adhesión, durante los plazos estipulados, de conformidad con lo establecido en el artículo 7 de este Código de Conducta. No está permitido que las organizaciones adheridas o no puedan utilizar el Sello como marca o símbolo propio. No podrán modificarse las características del Sello distintivo previstas en este Anexo 2, ya que podría ser constitutivo de una infracción, de conformidad con lo establecido en el artículo 7 de este Código de Conducta; no obstante, se podrá variar su tamaño para adecuarlo al formato en el que se va a insertar siempre que se mantengan sus proporciones. El modelo oficial de Sello del Código de Conducta del sector de investigación de mercados es el siguiente:

El sello se puede utilizar tanto en formato vertical como apaisado, en función del soporte y necesidades. Proporciones: el sello está conformado por dos cuadrados idénticos. Tamaño mínimo recomendado: 20mm (en su dimensión menor).


Colores y tipografía:

Aplicación en negro:


ANEXO 3 MODELO PARA LA PRESENTACIÓN DE QUEJAS O RECLAMACIONES

Dirigir la queja o reclamación a: Comité de Supervisión y Seguimiento ANEIMO c/ Velázquez, 146 – 3º2º 28004 Madrid DATOS DEL RECLAMANTE D./Dª. _________________________________________________________ D.N.I. ______________________, Domicilio____________________________, número_____, Localidad_______________________________, Código Postal____________, Provincia ___________________ DATOS DEL RECLAMADO Organización adherida______________________________, Dirección____________________________________________ número______, Localidad_______________________________, Código Postal____________, Provincia ___________________ DATOS DEL REPRESENTANTE LEGAL (en su caso) D./Dª. _________________________________________________________, D.N.I. ______________________ HECHOS QUE MOTIVAN LA QUEJA O RECLAMACIÓN __________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________ En ................., a .........., de...................de 20... Fdo. Nota: si la queja o reclamación incluye un ejercicio de los derechos descritos en el Título VII del Código de Conducta, deberá aportarse el DNI o documento de identificación similar del reclamante y del representante legal, en su caso.


ANEXO 4 OBTENCIÓN DEL CONSENTIMIENTO

Para que la información que debe suministrarse al entrevistado sea concisa y comprensible, se recomienda adoptar un modelo de información por capas o niveles:

Presentar una información básica en un primer nivel, de forma resumida, en el mismo momento y en el mismo medio en que se recojan los datos.

Remitir a la información adicional en un segundo nivel, donde se presentarán detalladamente el resto de las informaciones, en un medio más adecuado para su presentación, comprensión y, si se desea, archivo.

Información básica para obtención del consentimiento (investigación cuantitativa)

Le pedimos su consentimiento para tratar sus datos personales (y, en su caso, los del menor) y le garantizamos que toda la información que usted nos facilita, sus datos personales y sus opiniones, son tratados de forma confidencial y en cumplimiento de la legislación vigente. Responsable: <RAZÓN SOCIAL DE LA ORGANIZACIÓN ADHERIDA> Finalidad: Gestionar su participación en una investigación de mercado Legitimación: Su consentimiento Destinatarios: No se cederán a terceros ajenos a <GRUPO DE EMPRESAS DE LA

ORGANIZACIÓN ADHERIDA>, salvo obligación legal Derechos: Tiene derecho a acceder, rectificar y suprimir los datos, así como otros

derechos, como se explica en la información adicional, que puede consultar en <PAGINA WEB/AVISO LEGAL>

Se añadirá lo siguiente cuando los datos personales hayan sido suministrados por el cliente Procedencia: Sus datos han sido obtenidos de quien nos ha encargado el estudio. Para no

condicionar sus respuestas, y si Vd. lo desea, le informaremos de su identidad y datos de contacto al finalizar el estudio.

Información básica para captación de panelistas Se empleará la misma fórmula anterior con las siguientes diferencias:

Le pedimos su consentimiento para tratar sus datos personales (y, en su caso, los del menor) y le garantizamos que toda la información que usted nos facilita, sus datos personales y sus opiniones, son tratados de forma confidencial y en cumplimiento de la legislación vigente. Responsable: <RAZÓN SOCIAL DE LA ORGANIZACIÓN ADHERIDA> Finalidad: Gestionar su participación en el panel y en los procesos de investigación de

mercado en los que se le invite a participar Legitimación: Su consentimiento y ejecución del acuerdo de participación en el panel Destinatarios: No se cederán a terceros ajenos a <GRUPO DE EMPRESAS DE LA

ORGANIZACIÓN ADHERIDA>, salvo obligación legal Derechos: Tiene derecho a acceder, rectificar y suprimir los datos, así como otros

derechos, como se explica en la información adicional, que puede consultar en <PAGINA WEB/AVISO LEGAL>

En cada comunicación al panelista (por ejemplo, una invitación a participar en una investigación) se le incluirá un vínculo a la información adicional, además de a la opción de darse de baja del panel.


Información básica para obtención del consentimiento (investigación cualitativa)

Le pedimos su consentimiento para tratar sus datos personales (y, en su caso, los del menor) y le garantizamos que toda la información que usted nos facilita, sus datos personales y sus opiniones, son tratados de forma confidencial y en cumplimiento de la legislación vigente. Le informamos que su participación podrá ser grabada en audio o video. Responsable: <RAZÓN SOCIAL DE LA ORGANIZACIÓN ADHERIDA> Finalidad: Gestionar su participación en una investigación de mercado Legitimación: Su consentimiento Destinatarios: No se cederán a terceros ajenos a <GRUPO DE EMPRESAS DE LA

ORGANIZACIÓN ADHERIDA> o a quien encargó la investigación, salvo obligación legal

Derechos Tiene derecho a acceder, rectificar y suprimir los datos, así como otros derechos, como se explica en la información adicional, que puede consultar en <PAGINA WEB/AVISO LEGAL>

Se añadirá lo siguiente cuando los datos personales hayan sido suministrados por el cliente Procedencia: Sus datos han sido obtenidos de quien nos ha encargado el estudio. Para no

condicionar sus respuestas, y si Vd. lo desea, le informaremos de su identidad y datos de contacto al finalizar el estudio.

Información adicional (segunda capa) Esta información puede incluirse en una sección específica de la página web de la organización adherida (por ejemplo, en un “aviso legal” o “política de privacidad”) y no omitir información por el hecho de que ya se hubiese incluido en la información básica.

Responsable: <RAZÓN SOCIAL DE LA ORGANIZACIÓN ADHERIDA> y datos de contacto <dirección postal, electrónica, número de teléfono>

(en su caso) <DATOS DE CONTACTO DEL DELEGADO DE PROTECCIÓN DE DATOS>

Finalidad: Gestionar su participación en el panel y/o en los procesos de investigación de mercado en los que se le invite a participar. Sus datos personales se conservarán el tiempo imprescindible para validar el proceso de la investigación (normalmente 3 meses) y, en caso de ser panelista, mientras dure su participación en el panel. Podemos conservar sus datos personales por un plazo superior por obligación legal.

Legitimación: Su consentimiento al participar en una investigación de mercado. En caso de ser panelista, además, para la ejecución del acuerdo de pertenencia al panel, por lo que si no nos facilita los datos personales solicitados podrá no ser incluido en el mismo. En caso de que desee darse de baja del panel, podrá no recibir los incentivos o compensaciones establecidos.

Destinatarios: Los datos se comunicarán a otras empresas del grupo <GRUPO DE EMPRESAS DE LA ORGANIZACIÓN ADHERIDA>, a proveedores de servicios relacionados con la investigación y a quien nos encargó la investigación con la finalidad de gestionar su participación en una investigación de mercado y del análisis estadístico de sus resultados. Los análisis estadísticos incluyen datos agregados que pueden incluir su perfil sociodemográfico, pero sin identificarle individualmente. No se cederán a terceros ajenos a quien encargó la investigación, salvo obligación legal. (en caso de transferencia internacional) Le informamos que sus datos


personales pueden ser transferidos a países fuera de la UE o EEE para los que existe una decisión de adecuación de la Comisión respecto de dichos países. En caso de que no exista dicha decisión, en <RAZÓN SOCIAL DE LA ORGANIZACIÓN ADHERIDA>aportamos las garantías adecuadas o apropiadas, de las que puede usted solicitarnos una copia.

Derechos Tiene usted derecho a obtener confirmación sobre si en<RAZÓN SOCIAL DE LA ORGANIZACIÓN ADHERIDA> estamos tratando datos personales que le conciernan, o no. Tiene derecho a acceder a sus datos personales, así como a solicitar la rectificación de los datos inexactos o, en su caso, solicitar su supresión cuando, entre otros motivos, los datos ya no sean necesarios para los fines que fueron recogidos. En determinadas circunstancias, puede solicitar la limitación del tratamiento de sus datos, en cuyo caso únicamente los conservaremos para el ejercicio o la defensa de reclamaciones o por obligación legal. En determinadas circunstancias y por motivos relacionados con su situación particular, puede oponerse al tratamiento de sus datos. En este caso, dejaremos de tratar sus datos personales, salvo por motivos legítimos imperiosos, o el ejercicio o la defensa de posibles reclamaciones. También puede solicitar la portabilidad de sus datos personales, cuando sea técnicamente posible. Puede ejercer sus derechos dirigiéndose a la dirección indicada en esta página.

Se añadirá lo siguiente cuando los datos personales hayan sido suministrados por el cliente Procedencia: Sus datos de contacto (nombre, dirección de contacto, información comercial)

han sido obtenidos de quien nos ha encargado el estudio. Para no condicionar sus respuestas, y si Vd. lo desea, se le informará de su identidad y datos de contacto al finalizar el estudio.


ANEXO 5 EJERCICIO DE DERECHOS

EJERCICIO DEL DERECHO DE ACCESO IDENTIFICACIÓN DE LA EMPRESA RESPONSABLE DEL TRATAMIENTO DATOS DEL SOLICITANTE O REPRESENTANTE LEGAL*: D./Dª. _________________________________________________________,mayor de edad, con domicilio en la calle ____________________________,número_____, Localidad_______________________________, Código Postal____________, Provincia, con D.N.I. ______________________, del que acompaña fotocopia, por medio del presente escrito manifiesta su deseo de ejercer su derecho de acceso, de conformidad con la legislación aplicable a la protección de datos personales. SOLICITA 1. Que se le facilite el derecho de acceso a los datos personales que <la organización> mantiene sobre mi persona/la persona que represento en el plazo máximo de un mes a contar desde la recepción de esta solicitud, entendiendo que si transcurre este plazo sin que de forma expresa se conteste a la mencionada petición de acceso se considerará denegada. 2. Que esta información comprenda, de modo legible e inteligible, los datos que sobre mi persona/la persona que represento sean tratados, los resultantes de cualquier elaboración, proceso o tratamiento, así como el origen de los mismos, los cesionarios y la especificación de los concretos usos y finalidades para los que se conservan. 3. Que si la solicitud del derecho de acceso fuese estimada, se remita por correo la información a la dirección arriba indicada. En ................., a .........., de...................de 20... Fdo. (*) Nota: si el derecho se ejerce por medio de un representante legal, además de la copia de DNI del interesado, habrá de aportarse copia del DNI y documento acreditativo del representante.


CONTESTACIÓN AL AFECTADO ANTE EL EJERCICIO DE ACCESO IDENTIFICACIÓN DE LA EMPRESA RESPONSABLE DEL TRATAMIENTO D/Dª.________________________________________ , actuando en nombre y representación de la empresa _________________________________, con N.I.F./C.I.F. ____________ y domicilio en la calle_____________________________, Localidad___ _____________________,Código Postal ____________, Provincia___________________. EXPONE Que atendiendo al ejercicio del derecho de acceso por parte de D./Dª._________________________________________________________, mayor de edad, con domicilio en la calle ____________________________,número_____, Localidad_______________________________, Código Postal____________, Provincia___________________, con D.N.I.______________________, se le facilita el acceso, a través del documento que se adjunta a la presente, a los datos que sobre su persona/la persona que representa son objeto de tratamiento, los resultantes de cualquier elaboración, proceso o tratamiento, así como el origen de los mismos, los cesionarios y la especificación de los concretos usos y finalidades para los que se almacenaron. En ................., a .........., de...................de 20... Fdo.


MODELO DE EJERCICIO DEL DERECHO DE RECTIFICACIÓN IDENTIFICACIÓN DE LA EMPRESA RESPONSABLE DEL TRATAMIENTO DATOS DEL SOLICITANTE O REPRESENTANTE LEGAL*: D./Dª. _________________________________________________________,mayor de edad, con domicilio en la calle ____________________________,número_____, Localidad_______________________________, Código Postal____________, Provincia __________con D.N.I. ______________________,del que acompaña fotocopia, por medio del presente escrito manifiesta su deseo de ejercer derecho de rectificación, de conformidad con la legislación aplicable a la protección de datos personales. EXPONE 1. Que se proceda a la efectiva rectificación en el plazo legal desde la recepción de esta solicitud, de los datos inexactos relativos a mi persona/la persona que represento que se encuentren en los ficheros de <la organización>. 2. Los datos que hay que rectificar se enumeran en la hoja anexa, haciendo referencia a los documentos que se acompañan en esta solicitud para acreditarla veracidad de los nuevos datos. 3. Que en el caso de que el responsable del tratamiento considere que la rectificación no procede lo comunique en el mismo plazo señalado. 4. Que si los datos rectificados hubieran sido comunicados previamente a un tercero, se notifique al mismo la rectificación practicada, con el fin de que éste proceda también a realizar las modificaciones oportunas. 5. Que cualquier comunicación que hubiere lugar se realice a la dirección arriba indicada. En …………………….. , a ……., de...................de 20.... Fdo. (*) Nota: si el derecho se ejerce por medio de un representante legal, además de la copia de DNI del interesado, habrá de aportarse copia del DNI y documento acreditativo del representante.


CONTESTACIÓN AL AFECTADO ANTE EL EJERCICIO DERECTIFICACIÓN IDENTIFICACIÓN DE LA EMPRESA RESPONSABLE DEL TRATAMIENTO D/Dª.________________________________________ , actuando en nombre y representación de la empresa _________________________________, con N.I.F./C.I.F. ____________ y domicilio en la calle_____________________________, Localidad___ _____________________,Código Postal ____________, Provincia___________________. EXPONE Que atendiendo al ejercicio del derecho de rectificación por parte de D./Dª._________________________________________________________, mayor de edad, con domicilio en la calle ____________________________,número_____, Localidad_______________________________, Código Postal____________, Provincia___________________, con D.N.I._____________________, se procede a la efectiva rectificación, en el plazo de un mes desde la recepción de la solicitud, de los datos inexactos relativos a su persona/la persona que representa que se encuentren sometidos a tratamiento por nuestra empresa. Asimismo, si los datos rectificados hubieran sido comunicados previamente a un tercero, se notificarán al mismo la rectificación practicada, con el fin de que éste proceda también a realizar las modificaciones oportunas. En ................., a .........., de...................de 20... Fdo.


MODELO DE EJERCICIO DEL DERECHO DE SUPRESIÓN IDENTIFICACIÓN DE LA EMPRESA RESPONSABLE DEL TRATAMIENTO DATOS DEL SOLICITANTE O REPRESENTANTE LEGAL*: D./Dª. _________________________________________________________,mayor de edad, con domicilio en la calle ____________________________,número_____, Localidad_______________________________, Código Postal____________, Provincia __________con D.N.I. ______________________,del que acompaña fotocopia, por medio del presente escrito manifiesta su deseo de ejercer su derecho de supresión, de conformidad con la legislación aplicable a la protección de datos personales. EXPONE 1. Que se proceda a la efectiva supresión en el plazo legal desde la recepción de esta solicitud, de los datos relativos a mi persona/la persona que represento que sean objeto de tratamiento por<la organización> que relaciono a continuación, al no existir vinculación jurídica o disposición legal que justifique su mantenimiento. 2. Los datos que hay que suprimir se enumeran en la hoja anexa, haciendo referencia a los documentos que se acompañan en esta solicitud para acreditarla procedencia de la misma. 3. Que en el caso de que el responsable del tratamiento considere que la supresión no procede lo comunique en el mismo plazo señalado. 4. Que si los datos suprimidos hubieran sido comunicados previamente a un tercero, se notifique al mismo la operación practicada, con el fin de que éste proceda también a realizar las supresiones oportunas. 5. Que cualquier comunicación que hubiere lugar se realice a la dirección arriba indicada. En……………………. , a ……, de...................de 20…. Fdo. (*) Nota: si el derecho se ejerce por medio de un representante legal, además de la copia de DNI del interesado, habrá de aportarse copia del DNI y documento acreditativo del representante.


CONTESTACIÓN AL AFECTADO ANTE EL EJERCICIO DESUPRESIÓN IDENTIFICACIÓN DE LA EMPRESA RESPONSABLE DEL TRATAMIENTO D/Dª.________________________________________ , actuando en nombre y representación de la empresa _________________________________, con N.I.F./C.I.F. ____________ y domicilio en la calle_____________________________, Localidad___ _____________________,Código Postal ____________, Provincia___________________. EXPONE Que atendiendo al ejercicio del derecho de supresión por parte de D./Dª._________________________________________________________, mayor de edad, con domicilio en la calle ____________________________,número_____, Localidad_______________________________, Código Postal____________, Provincia___________________, con D.N.I._____________________, se procede a la efectiva supresión, en el plazo de un mes desde la recepción de la solicitud. Asimismo, si los datos a suprimir hubieran sido comunicados previamente a un tercero, se notificarán al mismo la supresión practicada, con el fin de que éste proceda también a realizar las modificaciones oportunas. En ................., a .........., de...................de 20... Fdo.


MODELO DE EJERCICIO DEL DERECHO A LA LIMITACIÓN DEL TRATAMIENTO IDENTIFICACIÓN DE LA EMPRESA RESPONSABLE DEL TRATAMIENTO DATOS DEL SOLICITANTE O REPRESENTANTE LEGAL*: D./Dª. _________________________________________________________,mayor de edad, con domicilio en la calle ____________________________,número_____, Localidad_______________________________, Código Postal____________, Provincia __________con D.N.I. ______________________,del que acompaña fotocopia, por medio del presente escrito manifiesta su deseo de ejercer su derecho de rectificación, de conformidad con la legislación aplicable a la protección de datos personales. EXPONE 1. (Describir la situación en la que se produce el tratamiento de sus datos personales y enumerar los motivos por los que solicita la limitación del tratamiento) 2. Que para acreditar la situación descrita, acompaño una copia de los siguientes documentos: (enumerar los documentos que adjunta con esta solicitud para acreditar la situación que ha descrito) 3. Que se proceda a la efectiva limitación del tratamiento el plazo legal desde la recepción de esta solicitud, de los tratamientos descritos que realiza <la organización> que relaciono a continuación, al no existir vinculación jurídica o disposición legal que justifique su mantenimiento: 4. Que en el caso de que el responsable del tratamiento considere que la limitación del tratamiento no procede lo comunique en el mismo plazo señalado. 5. Que cualquier comunicación que hubiere lugar se realice a la dirección arriba indicada. En……………………. , a ……., de...................de 20 Fdo. (*) Nota: si el derecho se ejerce por medio de un representante legal, además de la copia de DNI del interesado, habrá de aportarse copia del DNI y documento acreditativo del representante.


CONTESTACIÓN AL AFECTADO ANTE EL EJERCICIO DE LIMITACIÓN DEL TRATAMIENTO IDENTIFICACIÓN DE LA EMPRESA RESPONSABLE DEL TRATAMIENTO D/Dª.________________________________________ , actuando en nombre y representación de la empresa _________________________________, con N.I.F./C.I.F. ____________ y domicilio en la calle_____________________________, Localidad___ _____________________,Código Postal ____________, Provincia___________________. EXPONE Que atendiendo al ejercicio del derecho de limitación del tratamiento por parte de D./Dª._________________________________________________________, mayor de edad, con domicilio en la calle ____________________________,número_____, Localidad_______________________________, Código Postal____________, Provincia___________________, con D.N.I._____________________, se procede a la efectiva limitación al tratamiento, en el plazo de un mes desde la recepción de la solicitud. En ................., a .........., de...................de 20... Fdo.


ANEXO 6 CONTRATO DE ENCARGADO DE TRATAMIENTO

CONTRATO DE ENCARGADO DEL TRATAMIENTO DE DATOS PERSONALES PARA LA

PRESTACIÓN DE SERVICIOS DE INVESTIGACIÓN DE MERCADO

En <municipio>, a <dd> de <mmmm> de <aaaa>.

DE UNA PARTE: NOMBRE (en adelante el PROVEEDOR). Y DE OTRA: <LA ORGANIZACIÓN ADHERIDA>, (en adelante <la organización adherida>).

Ambas partes se reconocen mutuamente la capacidad legal necesaria para formalizar el presente Contrato de Encargado del Tratamiento de datos personales para la prestación de servicios de investigación de mercado y

EXPONEN

PRIMERO.- Que <la organización adherida>, está interesada en subcontratar fases del trabajo en los procesos de investigación de mercado que realiza para sus clientes.

SEGUNDO.- Que el PROVEEDOR presta servicios susceptibles de ser empleados en procesos de investigación de mercado. TERCERO.- Que para poder llevar a cabo los procesos de investigación encargados a <la organización adherida>por sus clientes, es imprescindible el intercambio o suministro mutuo de información entre ambas partes para la correcta consecución de los mismos. CUARTO.- Que dicho intercambio o suministro de información consiste en: el PROVEEDOR tratará datos personales procedentes de <la organización adherida> o su cliente, para la consecución del proceso de investigación. <la organización adherida> o su cliente, respectivamente, son responsables de que los datos personales afectados han sido obtenidos de acuerdo con la legalidad vigente en materia de protección de datos –particularmente el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD).– y que pueden ser utilizados para el tipo de tratamiento encargado al PROVEEDOR.

QUINTO.- El tratamiento a realizar por el PROVEEDOR podrá incluir cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión de datos personales. SEXTO.- Con motivo del tratamiento por parte del PROVEEDOR, como encargado del tratamiento de los datos personales, es necesario articular un procedimiento que rija el tratamiento y custodia que debe garantizar el PROVEEDOR con respecto a dichos datos, el cual debe estar sujeto además de a la normativa aplicable al efecto, a las cláusulas que se exponen más adelante.

SÉPTIMO.- Que estando ambas partes de acuerdo y habiéndose convenido los términos y condiciones del presente contrato, se someten a las siguientes


CLÁUSULAS PRIMERA.- El PROVEEDOR se compromete a realizar para <la organización adherida> los servicios relacionados con la investigación de mercado que tienen por finalidad alcanzar los objetivos que se acuerden entre ambas partes, siguiendo en todo el proceso el vigente código de ESOMAR (Código internacional CCI/ESOMAR para la práctica de la Investigación de Mercados, Opinión y Social y del Análisis de Datos). El desarrollo de los servicios a prestar se incluye en otro documento elaborado por el PROVEEDOR o por <la organización adherida>. SEGUNDA.- Las obligaciones establecidas para el PROVEEDOR en el presente contrato serán de obligado cumplimiento para sus colaboradores, tanto externos como internos, y subcontratistas, por lo que el PROVEEDOR responderá frente a <la organización adherida>, o su cliente, si tales obligaciones son incumplidas por tales colaboradores y subcontratistas. TERCERA.- El PROVEEDOR -como encargado del tratamiento- se compromete a tratar los datos personales conforme a las instrucciones de <la organización adherida>, que no los aplicará o utilizará con fin distinto al que figura en el presente contrato y en el documento que describa los servicios a prestar, ni los comunicará ni siquiera para su conservación a terceros distintos de los indicados en la Cláusula Segunda de este contrato. Para ello, <la organización adherida>informará puntualmente al PROVEEDOR de dichas instrucciones. En caso de que la comunicación a un tercero por parte del PROVEEDOR implique una transferencia de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que le sea de aplicación; el PROVEEDOR informará a <la organización adherida> de esa exigencia legal previa al tratamiento. Si el PROVEEDOR considera que alguna de las instrucciones infringe la legislación aplicable a la protección de datos de la Unión o de los Estados miembros informará inmediatamente a <la organización adherida>. CUARTA.- De igual modo, el PROVEEDOR se compromete, a la finalización del servicio, a devolver a <la organización adherida> todos aquellos documentos y todos aquellos soportes informáticos que haya recibido de esta y en los que consten los datos personales comunicados conforme a este contrato. En caso de que esta devolución resulte imposible, el PROVEEDOR los destruirá de forma tal que sean ilegibles por terceros. QUINTA.- El PROVEEDOR deberá mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente contrato, incluso después de que finalice su objeto. El PROVEEDOR informará a su personal, colaboradores y subcontratistas de las obligaciones establecidas en el presente contrato relativas al tratamiento de datos personales. El PROVEEDOR realizará cuantas advertencias y suscribirá cuantos documentos sean necesarios con su personal, colaboradores y subcontratistas, con el fin de asegurar el cumplimiento de tales obligaciones. El PROVEEDOR deberá mantener a disposición de <la organización adherida> la documentación acreditativa del cumplimiento de dicha obligación de información. SEXTA.- El PROVEEDOR reconoce que la legislación sobre protección de datos personales establece una serie de medidas de seguridad en el tratamiento de datos de carácter personal aplicables a los encargados del tratamiento. A tal efecto, el PROVEEDOR: 1. Aplicará a todos los tratamientos de datos que realice en el marco del presente contrato las

medidas técnicas y organizativas de seguridad apropiadas conforme a las exigencias de la legislación vigente en materia de protección de datos personales. <la organización adherida> podrá solicitar del PROVEEDOR la aplicación de medidas de seguridad adicionales que vayan más allá de las recogidas en la legislación vigente, cuando exista una causa justificada para ello.


2. Únicamente accederá a los datos personales si tal acceso fuese necesario para cumplir con

las obligaciones acordadas entre <la organización adherida> y el PROVEEDOR. 3. Se compromete a observar y adoptar cuantas medidas técnicas y organizativas de seguridad

sean necesarias para garantizar la seguridad de los datos personales comunicados con ocasión de la prestación del servicio, que eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural.

4. Se compromete, cuando sea una obligación legal, a mantener un registro documentado de

todas las categorías de actividades de tratamiento efectuadas por cuenta de <la organización adherida>.

5. El PROVEEDOR notificará a <la organización adherida>, sin dilación indebida, y en

cualquier caso antes del plazo máximo de 48 horas, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.

6. Cuando proceda, el PROVEEDOR dará apoyo a <la organización adherida> en la

realización de las evaluaciones de impacto relativas a la protección de datos y en la realización de las consultas previas a la autoridad de control, cuando proceda. El PROVEEDOR pondrá a disposición de <la organización adherida> toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen <la organización adherida> u otro auditor autorizado por esta.

SÉPTIMA.- Respecto al ejercicio de los derechos de acceso, rectificación, supresión o limitación del tratamiento que afecten a los datos personales objeto del servicio encargado: 1. El PROVEEDOR deberá, siempre que <la organización adherida> se lo solicite, borrar o

convertir en inaccesible parte de los datos de carácter personal que <la organización adherida> le indique, exceptuando en los casos que la legislación vigente no lo permitiera.

2. El PROVEEDOR deberá comunicar a <la organización adherida> cualquier solicitud de

ejercicio de derechos recibida de cualquier titular de datos personales incluidos entre los datos facilitados y proceder a lo solicitado de acuerdo con la legislación aplicable, una vez recibidas las correspondientes instrucciones por parte de <la organización adherida>.

3. <la organización adherida> deberá comunicar al PROVEEDOR las pertinentes

instrucciones como consecuencia de solicitudes de ejercicio de derechos recibidas de cualquier titular de datos personales y que puedan afectar al tratamiento objeto del servicio prestado.

OCTAVA.- <la organización adherida> y el PROVEEDOR se obligan a mantener indemne a la otra parte de este contrato por cualquier daño, perjuicio, gasto o responsabilidad civil o administrativa (incluyendo sin limitación honorarios de abogados) derivada de cualquier reclamación judicial o administrativa incoada contra cualquiera de ellos que alegue o guarde relación con el incumplimiento por la otra parte de las cláusulas sobre protección de datos personales contenidas en el presente contrato. NOVENA.- Las obligaciones establecidas en el presente contrato tendrán una duración indefinida, manteniéndose en vigor con posterioridad a la finalización, por cualquier causa, de la relación


entre <la organización adherida>y el PROVEEDOR respecto a los datos personales tratados derivados de la prestación del servicio. DÉCIMA.- En caso de conflicto de carácter deontológico, ambas partes aceptan el arbitraje de AEDEMO (Asociación Española de Estudios de Mercado y Opinión). Para la decisión de otras cuestiones litigiosas derivadas del presente contrato, las partes se someten al arbitraje institucional del Tribunal Arbitral de Madrid, encomendando al mismo la designación de árbitros y administración del arbitraje, así como obligándose a cumplir la decisión arbitral, de acuerdo con la Ley de Arbitraje 36/1988, de 5 de diciembre. Las partes reconocen como jurisdicción competente a la de los Tribunales de <LOCALIDAD>. Y en prueba de conformidad con cuanto antecede, ambas partes suscriben el presente contrato por duplicado y a un solo efecto, en el lugar y fecha que se indica en el encabezamiento.

POR <LA ORGANIZACIÓN ADHERIDA> POR EL PROVEEDOR

elaborado por: aneimo y aedemo · 2020-01-04 · “investigación de mercado”) se desarrolla...

Documents